La LPM e gli operatori di importanza vitale
Che cos'è un operatore di importanza vitale, che cosa gli impone la legge di programmazione militare del 2013 e che cosa cambia con NIS 2.
In 30 secondi
- Dove accade
- Negli operatori pubblici e privati ritenuti di importanza vitale per la Nazione. Nel 2018 un rapporto del Senato ne conta più di 200, distribuiti in 12 settori di attività1.
- Che cosa vuole la legge
- Che questi operatori applichino regole di sicurezza, rilevino gli attacchi, segnalino gli incidenti e accettino i controlli23.
- Il riflesso
- Se lavora in un operatore di questo tipo, segnali al team sicurezza ogni incidente informatico, perché l'operatore stesso ha l'obbligo di notificare allo Stato i principali incidenti informatici3.
- Se è già accaduto
- Segua la procedura interna della sua organizzazione. Le fonti citate qui non descrivono alcuna iniziativa per un dipendente.
Di cosa si tratta
Alcune organizzazioni forniscono servizi di cui il Paese non può fare a meno. Il diritto francese le chiama opérateurs d'importance vitale, o OIV (operatori di importanza vitale). Dopo la loi de programmation militaire (LPM, legge di programmazione militare) del 2013, il rapporto del Senato del 2014 descrive una legge che rafforza gli obblighi di questi operatori, tra cui quello di notificare i principali incidenti informatici3.
Un dipendente di un OIV, o di un fornitore che lavora per un OIV, non è citato espressamente da questi testi. Gli obblighi gravano sull'operatore. Se ne può dedurre che incidano sul lavoro dei suoi team, ma i testi citati qui non lo dicono.
Domande dirette
Che cos'è un operatore di importanza vitale?
Il testo del disegno di legge parla di operatori pubblici e privati individuati come « d'importance vitale pour le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation »2. Il rapporto del Senato del 2018 ne conta più di 200, in 12 settori di attività1.
Che cos'è un SIIV?
Il disegno di legge del 2013 fissa regole di sicurezza per i sistemi informativi la cui compromissione, nella sicurezza o nel funzionamento, rischierebbe di ridurre in modo significativo il potenziale bellico o economico, la sicurezza o la capacità di sopravvivenza della Nazione2. «SIIV» è la sigla d'uso per questi sistemi e non proviene dalle fonti citate qui. Secondo il rapporto del 2018, l'ANSSI ha pubblicato nel 2017 gli ultimi decreti settoriali, e in quell'anno 1 000 di questi sistemi erano stati dichiarati all'agenzia1.
Chi è l'ANSSI?
L'Agence nationale de la sécurité des systèmes d'information (l'agenzia nazionale francese per la sicurezza dei sistemi informativi) è l'autorità nazionale in materia di sicurezza e difesa dei sistemi informativi1. Prima della LPM il suo ruolo era essenzialmente di consulenza e di allerta. Da allora, secondo il rapporto del 2014, dispone di ampi poteri d'azione3.
Un dipendente rischia una sanzione?
I testi citati qui prevedono sanzioni a carico dell'operatore, non del dipendente. Il disegno di legge del 2013 puniva con una multa di 150 000 euro il mancato rispetto degli obblighi di sicurezza, con previa diffida, salvo per la mancata segnalazione di un incidente. Le persone giuridiche rientravano inoltre nel regime di multa dell'articolo 131-38 del codice penale2. Le fonti citate qui non permettono di verificare se il testo approvato riprenda questi importi.
1Cosa cambia per i dipendenti1 min
I testi non dicono nulla sui dipendenti. Fissano obblighi a carico dell'operatore, ed è l'operatore a trasmetterli al proprio interno.
Tre punti del disegno di legge del 2013 riguardano il lavoro quotidiano. L'operatore applicava a proprie spese le regole di sicurezza fissate dallo Stato2. Uno strumento o una procedura imposti dalla sicurezza possono dunque derivare da questo obbligo. Le regole potevano inoltre prescrivere sistemi di rilevamento qualificati, gestiti da fornitori qualificati, dall'ANSSI o da altri servizi dello Stato2. Infine il disegno di legge prevedeva che l'operatore informasse il Primo ministro «senza indugio» degli incidenti che toccano i suoi sistemi2. Il testo non lo scrive, ma un obbligo simile presuppone che l'incidente arrivi rapidamente a chi ne è responsabile. Il rapporto del 2014, invece, parla dell'obbligo di notificare i principali incidenti informatici3.
2Cosa cambia per la direzioneDirezione1 min
Il disegno di legge del 2013 poneva a carico dell'operatore il costo delle regole di sicurezza e quello dei controlli che il Primo ministro può richiedere2. Questi controlli sono svolti dall'ANSSI, da servizi dello Stato o da fornitori qualificati2.
Il rapporto del 2014 riassume il cambiamento: la legge prevede in particolare l'obbligo di notificare i principali incidenti informatici o di effettuare audit regolari3. Nel 2017 l'ANSSI ha svolto 63 audit presso i ministeri e gli OIV, e gli OIV rappresentano quasi la metà dell'attività di audit dell'agenzia1.
3Cosa dice il testoTesto ufficiale1 min
La legge n. 2013-1168 del 18 dicembre 2013 è stata promulgata e pubblicata nel Journal officiel del 19 dicembre 20134. Il capitolo sulla minaccia informatica si basa sul Libro bianco dell'aprile 2013, che prevedeva che lo Stato fissasse standard di sicurezza e che gli operatori notificassero gli incidenti3.
Nella legge, l'articolo 21 attribuisce al Primo ministro la competenza in materia di difesa dei sistemi informativi, e l'articolo 22 rafforza gli obblighi degli OIV3. Il disegno di legge presentato il 2 agosto 2013 dettagliava questi obblighi nel codice della difesa2:
- regole di sicurezza fissate dal Primo ministro, applicate dall'operatore a proprie spese;
- sistemi di rilevamento qualificati, le cui qualifiche sono rilasciate dal Primo ministro;
- informazione senza indugio al Primo ministro in caso di incidente;
- controllo dei sistemi su sua richiesta, a spese dell'operatore;
- misure imposte dal Primo ministro in caso di crisi maggiore.
Il disegno di legge prevedeva anche che lo Stato preservasse la riservatezza delle informazioni raccolte presso gli operatori2. Un decreto del Conseil d'État doveva precisare le condizioni di applicazione2.
Questi elementi provengono dal disegno di legge così come presentato. I numeri degli articoli della legge definitiva differiscono da quelli del disegno di legge23.
4A che punto è l'applicazione2 min
Nel 2014 l'entrata in vigore dipendeva ancora dai testi di attuazione. Un decreto del Conseil d'État doveva precisare gli obblighi degli OIV, e dovevano seguire decreti settoriali, pubblici o classificati, per lo più nel corso del 20153. A metà ottobre 2014 erano stati avviati gruppi di lavoro per l'energia e le comunicazioni elettroniche3.
Il rapporto del 2018 mostra il seguito: l'attuazione è proseguita dal 2014, gli ultimi decreti settoriali risalgono al 2017 e in quell'anno erano stati dichiarati 1 000 sistemi di importanza vitale1. Le fonti citate qui non forniscono uno stato più recente dell'applicazione della LPM agli OIV.
Il passaggio a NIS 2
La direttiva NIS, adottata il 6 luglio 2016, è stata recepita in Francia con la legge del 26 febbraio 2018. L'introduzione della nozione di operatori di servizi essenziali consentirà di includere soggetti che vanno oltre gli OIV1.
La direttiva NIS 2 (direttiva 2022/2555) è entrata in vigore nel gennaio 2023. Gli Stati membri avevano tempo fino al 17 ottobre 2024 per recepirla, e la prima direttiva NIS è abrogata dal 18 ottobre 20245. Copre 18 settori critici e aggiunge settori come i servizi digitali, la gestione dei rifiuti, i servizi postali e la pubblica amministrazione5. In via generale, i soggetti medi e grandi di questi settori devono adottare misure di gestione dei rischi e notificare gli incidenti significativi alle autorità nazionali5. La direttiva introduce inoltre la responsabilità della direzione in caso di mancato rispetto di tali misure5.
Il 20 gennaio 2026 la Commissione ha proposto modifiche mirate a NIS 2 per chiarire il diritto e semplificare la conformità5. Le fonti citate qui non precisano lo stato del recepimento di NIS 2 nel diritto francese né il suo effetto sullo status di OIV.
Scheda
- Identificativo
- CP-371
- Ala
- 6. Governance e GRC
- Competenza Brain
- Proteggere i dati (safeguard_data)
- Riflesso Brain
- cr-036
- Schema
- G3 · Sezione anatomica
- Lingue
- de, en, es, fr, it
- Fonti
- 5 fonti verificate il 3 novembre 2026
Fonti5 fonti
- Sénat, «Direction de l'action du Gouvernement : coordination du travail gouvernemental (avis n° 149, tome IX)», 22 novembre 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (consultato il 3 novembre 2026)
- Sénat, «Programmation militaire 2014-2019». https://www.senat.fr/leg/pjl12-822.html (consultato il 3 novembre 2026)
- Sénat, «Projet de loi de finances pour 2015 : Direction de l'action du Gouvernement : coordination du travail gouvernemental - Sénat», 20 novembre 2014. https://www.senat.fr/rap/a14-110-9/a14-110-91.html (consultato il 3 novembre 2026)
- Sénat, «Programmation militaire 2014-2019 - Sénat». https://www.senat.fr/dossier-legislatif/pjl12-822.html (consultato il 3 novembre 2026)
- Commission européenne, «NIS2 Directive: securing network and information systems». https://digital-strategy.ec.europa.eu/en/policies/nis2-directive (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «La LPM e gli operatori di importanza vitale», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp371_it_2026,
author = {Brain},
title = {La LPM e gli operatori di importanza vitale},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/lpm-oiv-operatori-importanza-vitale/},
note = {CC BY 4.0}
}