De LPM en de vitale operatoren (OIV)
Wat een vitale operator is, wat de Franse militaire programmeringswet van 2013 hem oplegt en wat NIS 2 verandert.
In 30 seconden
- Waar het speelt
- Bij publieke en private operatoren die van vitaal belang voor de Natie worden geacht. In 2018 telt een rapport van de Senaat er meer dan 200, verdeeld over 12 activiteitensectoren1.
- Wat de wet wil
- Dat deze operatoren veiligheidsregels toepassen, aanvallen opsporen, incidenten melden en controles accepteren23.
- De reflex
- Als u bij zo'n operator werkt, meld dan elk IT-incident aan uw beveiligingsteam, want de operator zelf is verplicht belangrijke IT-incidenten aan de Staat te melden3.
- Als het al gebeurd is
- Volg de interne procedure van uw organisatie. De hier aangehaalde bronnen beschrijven geen stappen voor een medewerker.
Waar gaat het over
Sommige organisaties leveren diensten waar het land niet buiten kan. Het Franse recht noemt ze opérateurs d'importance vitale, afgekort OIV (vitale operatoren). Sinds de militaire programmeringswet (loi de programmation militaire, LPM) van 2013 beschrijft het senaatsverslag van 2014 een wet die de verplichtingen van deze operatoren aanscherpt, waaronder de plicht om belangrijke IT-incidenten te melden3.
Een medewerker van een OIV, of van een dienstverlener die voor een OIV werkt, wordt in deze teksten niet bij naam genoemd. De verplichtingen rusten op de operator. Daaruit kan worden afgeleid dat ze doorwerken in het werk van zijn teams, maar de hier aangehaalde teksten zeggen dat niet.
Directe vragen
Wat is een vitale operator?
De tekst van het wetsontwerp spreekt van publieke en private operatoren die zijn aangemerkt als « d'importance vitale pour le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation »2. Het senaatsverslag van 2018 telt er meer dan 200, in 12 activiteitensectoren1.
Wat is een SIIV?
Het wetsontwerp van 2013 stelt veiligheidsregels vast voor informatiesystemen waarvan een aantasting van de veiligheid of de werking het oorlogspotentieel of het economisch potentieel, de veiligheid of het overlevingsvermogen van de Natie aanzienlijk zou kunnen verminderen2. SIIV is de gangbare afkorting voor deze systemen, maar ze komt niet uit de hier aangehaalde bronnen. Volgens het verslag van 2018 publiceerde de ANSSI in 2017 de laatste sectorale besluiten, en waren dat jaar 1 000 van deze systemen bij het agentschap aangemeld1.
Wie is de ANSSI?
De Agence nationale de la sécurité des systèmes d'information is de nationale autoriteit voor de beveiliging en verdediging van informatiesystemen1. Vóór de LPM was haar rol vooral adviserend en waarschuwend. Sindsdien beschikt zij volgens het verslag van 2014 over ruime bevoegdheden om op te treden3.
Riskeert een medewerker een sanctie?
De hier aangehaalde teksten voorzien in sancties tegen de operator, niet tegen de medewerker. Het wetsontwerp van 2013 bestrafte het niet naleven van de veiligheidsverplichtingen met een boete van 150 000 euro, na voorafgaande ingebrekestelling, behalve bij het nalaten een incident te melden. Voor rechtspersonen gold bovendien het boeteregime van artikel 131-38 van het Franse wetboek van strafrecht2. De hier aangehaalde bronnen laten niet toe na te gaan of de aangenomen tekst deze bedragen overneemt.
1Wat er verandert voor medewerkers1 min
De teksten zeggen niets over medewerkers. Ze leggen verplichtingen op aan de operator, en die geeft ze intern door.
Drie punten uit het wetsontwerp van 2013 raken het dagelijkse werk. De operator paste op eigen kosten de veiligheidsregels toe die de Staat vaststelde2. Een tool of procedure die de beveiliging oplegt, kan dus uit deze verplichting voortkomen. De regels konden ook gekwalificeerde detectiesystemen voorschrijven, beheerd door gekwalificeerde dienstverleners, door de ANSSI of door andere diensten van de Staat2. Ten slotte bepaalde het ontwerp dat de operator de premier « zonder uitstel » op de hoogte brengt van incidenten die zijn systemen treffen2. De tekst schrijft het niet, maar zo'n verplichting veronderstelt dat een incident snel doorkomt bij wie ervoor verantwoordelijk is. Het verslag van 2014 spreekt van de plicht om belangrijke IT-incidenten te melden3.
2Wat er verandert voor de directieDirectie1 min
Het wetsontwerp van 2013 liet de operator de kosten dragen van de veiligheidsregels en van de controles die de premier kan vragen2. Die controles worden uitgevoerd door de ANSSI, door diensten van de Staat of door gekwalificeerde dienstverleners2.
Het verslag van 2014 vat de verandering samen: de wet voorziet met name in de plicht om belangrijke IT-incidenten te melden of in regelmatige audits3. In 2017 voerde de ANSSI 63 audits uit bij ministeries en OIV, en OIV vormen bijna de helft van de auditactiviteit van het agentschap1.
3Wat de tekst zegtOfficiële tekst1 min
Wet nr. 2013-1168 van 18 december 2013 is afgekondigd en gepubliceerd in het Journal officiel van 19 december 20134. Het hoofdstuk over de cyberdreiging steunt op het Witboek van april 2013, dat bepaalde dat de Staat veiligheidsnormen vaststelt en dat operatoren incidenten melden3.
In de wet geeft artikel 21 de premier de bevoegdheid voor de verdediging van informatiesystemen, en artikel 22 scherpt de verplichtingen van de OIV aan3. Het op 2 augustus 2013 ingediende wetsontwerp werkte deze verplichtingen uit in de Code de la défense2:
- veiligheidsregels die de premier vaststelt en die de operator op eigen kosten toepast;
- gekwalificeerde detectiesystemen, waarvan de kwalificaties door de premier worden afgegeven;
- onverwijlde informatie aan de premier bij een incident;
- controle van de systemen op zijn verzoek, op kosten van de operator;
- maatregelen die de premier oplegt bij een grote crisis.
Het ontwerp bepaalde ook dat de Staat de vertrouwelijkheid van de bij operatoren verzamelde informatie waarborgt2. Een besluit van de Conseil d'État moest de toepassingsvoorwaarden nader bepalen2.
Deze elementen komen uit het wetsontwerp zoals het was ingediend. De artikelnummers van de definitieve wet verschillen van die van het ontwerp23.
4Hoe ver de toepassing staat2 min
In 2014 hing de inwerkingtreding nog af van uitvoeringsteksten. Een besluit van de Conseil d'État moest de verplichtingen van de OIV nader bepalen, en sectorale besluiten, openbaar of geclassificeerd, moesten volgen, grotendeels in de loop van 20153. Medio oktober 2014 waren werkgroepen gestart voor energie en elektronische communicatie3.
Het verslag van 2018 toont het vervolg: de uitvoering is sinds 2014 voortgezet, de laatste sectorale besluiten dateren van 2017, en dat jaar waren 1 000 vitale systemen aangemeld1. De hier aangehaalde bronnen geven geen recentere stand van de toepassing van de LPM op de OIV.
De overgang naar NIS 2
De NIS-richtlijn, aangenomen op 6 juli 2016, is in Frankrijk omgezet bij de wet van 26 februari 2018. De invoering van het begrip aanbieders van essentiële diensten zal het mogelijk maken om ook entiteiten buiten de OIV te bestrijken1.
De NIS 2-richtlijn (richtlijn 2022/2555) is in januari 2023 in werking getreden. De lidstaten hadden tot 17 oktober 2024 om haar om te zetten, en de eerste NIS-richtlijn is sinds 18 oktober 2024 ingetrokken5. Ze bestrijkt 18 kritieke sectoren en voegt sectoren toe zoals digitale diensten, afvalbeheer, postdiensten en openbaar bestuur5. In de regel moeten middelgrote en grote entiteiten in die sectoren maatregelen voor risicobeheer nemen en belangrijke incidenten melden aan de nationale autoriteiten5. De richtlijn voert ook de verantwoordelijkheid van het bestuur in bij het niet naleven van deze maatregelen5.
Op 20 januari 2026 stelde de Commissie gerichte wijzigingen van NIS 2 voor om het recht te verduidelijken en de naleving te vereenvoudigen5. De hier aangehaalde bronnen vermelden niet hoe ver de omzetting van NIS 2 in Frans recht staat, noch wat het effect is op het statuut van OIV.
Fiche
- Identificatie
- CP-371
- Vleugel
- 6. Governance en GRC
- Brain-competentie
- Gegevens beschermen (safeguard_data)
- Brain-reflex
- cr-036
- Schema
- G3 · Anatomische doorsnede
- Talen
- de, en, es, fr, it, nl
- Bronnen
- 5 bronnen gecontroleerd op 3 november 2026
Bronnen5 bronnen
- Sénat, “Direction de l'action du Gouvernement : coordination du travail gouvernemental (avis n° 149, tome IX)”, 22 november 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (geraadpleegd op 3 november 2026)
- Sénat, “Programmation militaire 2014-2019”. https://www.senat.fr/leg/pjl12-822.html (geraadpleegd op 3 november 2026)
- Sénat, “Projet de loi de finances pour 2015 : Direction de l'action du Gouvernement : coordination du travail gouvernemental - Sénat”, 20 november 2014. https://www.senat.fr/rap/a14-110-9/a14-110-91.html (geraadpleegd op 3 november 2026)
- Sénat, “Programmation militaire 2014-2019 - Sénat”. https://www.senat.fr/dossier-legislatif/pjl12-822.html (geraadpleegd op 3 november 2026)
- Commission européenne, “NIS2 Directive: securing network and information systems”. https://digital-strategy.ec.europa.eu/en/policies/nis2-directive (geraadpleegd op 3 november 2026)
Dit artikel citeren
Brain, “De LPM en de vitale operatoren (OIV)”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp371_nl_2026,
author = {Brain},
title = {De LPM en de vitale operatoren (OIV)},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/nl/articles/lpm-oiv-vitale-operatoren/},
note = {CC BY 4.0}
}