LPM i operatorzy o znaczeniu życiowym (OIV)
Czym jest operator o znaczeniu życiowym, co nakłada na niego francuska ustawa o programowaniu wojskowym z 2013 r. i co zmienia NIS 2.
W 30 sekund
- Gdzie to występuje
- U operatorów publicznych i prywatnych uznanych za mających znaczenie życiowe dla Narodu. W 2018 r. raport Senatu wymienia ich ponad 200, w 12 sektorach działalności1.
- Czego chce ustawa
- Aby ci operatorzy stosowali reguły bezpieczeństwa, wykrywali ataki, zgłaszali incydenty i godzili się na kontrole23.
- Odruch
- Jeśli pracuje Pan/Pani u takiego operatora, każdy incydent informatyczny należy zgłosić zespołowi ds. bezpieczeństwa, ponieważ sam operator ma obowiązek zgłaszania państwu istotnych incydentów informatycznych3.
- Jeśli to już zrobione
- Należy postępować zgodnie z wewnętrzną procedurą organizacji. Cytowane tu źródła nie opisują żadnego postępowania dla pracownika.
O co chodzi
Niektóre organizacje świadczą usługi, bez których kraj nie może się obejść. Prawo francuskie nazywa je operatorami o znaczeniu życiowym (opérateurs d'importance vitale, OIV). Raport senacki z 2014 r. opisuje ustawę o programowaniu wojskowym (loi de programmation militaire, LPM) z 2013 r. jako akt, który wzmacnia obowiązki tych operatorów, w tym obowiązek zgłaszania istotnych incydentów informatycznych3.
Pracownik OIV lub podwykonawcy, który dla niego pracuje, nie jest w tych tekstach wymieniony z nazwy. Obowiązki spoczywają na operatorze. Można z tego wnioskować, że odbijają się na pracy jego zespołów, ale cytowane tu teksty tego nie mówią.
Pytania wprost
Czym jest operator o znaczeniu życiowym?
Tekst projektu ustawy mówi o operatorach publicznych i prywatnych uznanych za mających znaczenie życiowe dla potencjału wojennego lub gospodarczego, bezpieczeństwa lub zdolności przetrwania Narodu (« d'importance vitale pour le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation »)2. Raport senacki z 2018 r. wymienia ich ponad 200, w 12 sektorach działalności1.
Czym jest SIIV?
Projekt ustawy z 2013 r. ustanawia reguły bezpieczeństwa dla systemów informacyjnych, których naruszenie bezpieczeństwa lub funkcjonowania mogłoby w istotny sposób osłabić potencjał wojenny lub gospodarczy, bezpieczeństwo lub zdolność przetrwania Narodu2. „SIIV” to zwyczajowy skrót dla tych systemów i nie pochodzi z cytowanych tu źródeł. Według raportu z 2018 r. ANSSI opublikowała w 2017 r. ostatnie rozporządzenia sektorowe, a w tym samym roku zgłoszono do agencji 1 000 takich systemów1.
Kim jest ANSSI?
Agence nationale de la sécurité des systèmes d'information to krajowy organ właściwy w sprawach bezpieczeństwa i obrony systemów informacyjnych1. Przed LPM jej rola sprowadzała się głównie do doradztwa i ostrzegania. Od tamtej pory, według raportu z 2014 r., dysponuje rozszerzonymi uprawnieniami do działania3.
Czy pracownikowi grozi kara?
Cytowane tu teksty przewidują sankcje wobec operatora, nie wobec pracownika. Projekt ustawy z 2013 r. karał grzywną w wysokości 150 000 euro za niedopełnienie obowiązków w zakresie bezpieczeństwa, po uprzednim wezwaniu do ich wykonania, z wyjątkiem braku zgłoszenia incydentu. Osoby prawne podlegały ponadto reżimowi grzywien z art. 131-38 kodeksu karnego2. Cytowane tu źródła nie pozwalają sprawdzić, czy uchwalony tekst powtarza te kwoty.
1Co się zmienia dla pracowników1 min
Teksty nic nie mówią o pracownikach. Nakładają obowiązki na operatora, a to on przekazuje je dalej wewnątrz organizacji.
Trzy punkty projektu ustawy z 2013 r. dotyczą codziennej pracy. Operator stosował na własny koszt reguły bezpieczeństwa ustalone przez państwo2. Narzędzie lub procedura narzucone przez dział bezpieczeństwa mogą więc wynikać z tego obowiązku. Reguły mogły też przewidywać kwalifikowane systemy wykrywania, obsługiwane przez kwalifikowanych usługodawców, przez ANSSI lub przez inne służby państwowe2. Wreszcie projekt przewidywał, że operator informuje premiera „bez zwłoki” o incydentach dotyczących jego systemów2. Tekst tego nie pisze, ale taki obowiązek zakłada, że incydent szybko trafia do osób, które za niego odpowiadają. Raport z 2014 r. mówi natomiast o obowiązku zgłaszania istotnych incydentów informatycznych3.
2Co się zmienia dla zarząduZarząd1 min
Projekt ustawy z 2013 r. obciążał operatora kosztami reguł bezpieczeństwa oraz kontroli, o które może wnioskować premier2. Kontrole te przeprowadzają ANSSI, służby państwowe lub kwalifikowani usługodawcy2.
Raport z 2014 r. podsumowuje zmianę: ustawa przewiduje w szczególności obowiązek zgłaszania istotnych incydentów informatycznych lub przeprowadzania regularnych audytów3. W 2017 r. ANSSI przeprowadziła 63 audyty w ministerstwach i u OIV, a OIV stanowią blisko połowę działalności audytowej agencji1.
3Co mówi tekstTekst urzędowy1 min
Ustawa nr 2013-1168 z 18 grudnia 2013 r. została promulgowana i opublikowana w Journal officiel z 19 grudnia 2013 r.4. Rozdział o cyberzagrożeniach opiera się na Białej Księdze z kwietnia 2013 r., która przewidywała, że państwo ustala standardy bezpieczeństwa, a operatorzy zgłaszają incydenty3.
W ustawie art. 21 powierza premierowi kompetencje w zakresie obrony systemów informacyjnych, a art. 22 wzmacnia obowiązki OIV3. Projekt ustawy złożony 2 sierpnia 2013 r. szczegółowo opisywał te obowiązki w kodeksie obrony2:
- reguły bezpieczeństwa ustalane przez premiera, stosowane przez operatora na jego koszt;
- kwalifikowane systemy wykrywania, których kwalifikacje przyznaje premier;
- informowanie premiera bez zwłoki w razie incydentu;
- kontrola systemów na jego wniosek, na koszt operatora;
- środki narzucane przez premiera w razie poważnego kryzysu.
Projekt przewidywał również, że państwo chroni poufność informacji uzyskanych od operatorów2. Dekret Rady Stanu (Conseil d'État) miał określić warunki stosowania2.
Te elementy pochodzą z projektu ustawy w postaci złożonej. Numery artykułów ostatecznej ustawy różnią się od numerów w projekcie23.
4Stan wdrożenia2 min
W 2014 r. wejście w życie zależało jeszcze od aktów wykonawczych. Dekret Rady Stanu miał określić obowiązki OIV, a po nim miały pojawić się rozporządzenia sektorowe, jawne lub niejawne, w większości w trakcie 2015 r.3. Grupy robocze zostały uruchomione w połowie października 2014 r. dla energetyki i łączności elektronicznej3.
Raport z 2018 r. pokazuje, co było dalej: wdrażanie trwało od 2014 r., ostatnie rozporządzenia sektorowe pochodzą z 2017 r., a w tym samym roku zgłoszono 1 000 systemów o znaczeniu życiowym1. Cytowane tu źródła nie podają nowszego stanu stosowania LPM wobec OIV.
Przejście do NIS 2
Dyrektywa NIS, przyjęta 6 lipca 2016 r., została we Francji transponowana ustawą z 26 lutego 2018 r. Wprowadzenie pojęcia operatorów usług kluczowych pozwoli objąć podmioty wykraczające poza OIV1.
Dyrektywa NIS 2 (dyrektywa 2022/2555) weszła w życie w styczniu 2023 r. Państwa członkowskie miały czas do 17 października 2024 r. na jej transpozycję, a pierwsza dyrektywa NIS jest uchylona od 18 października 2024 r.5. Obejmuje 18 sektorów krytycznych i dodaje sektory takie jak usługi cyfrowe, gospodarka odpadami, usługi pocztowe i administracja publiczna5. Co do zasady średnie i duże podmioty z tych sektorów muszą stosować środki zarządzania ryzykiem i zgłaszać istotne incydenty organom krajowym5. Dyrektywa wprowadza też odpowiedzialność kierownictwa za niestosowanie tych środków5.
20 stycznia 2026 r. Komisja zaproponowała ukierunkowane zmiany w NIS 2, aby doprecyzować przepisy i uprościć zapewnianie zgodności5. Cytowane tu źródła nie precyzują stanu transpozycji NIS 2 do prawa francuskiego ani jego wpływu na status OIV.
Karta
- Identyfikator
- CP-371
- Skrzydło
- 6. Ład korporacyjny i GRC
- Kompetencja Brain
- Chronić dane (safeguard_data)
- Odruch Brain
- cr-036
- Schemat
- G3 · Przekrój anatomiczny
- Języki
- de, en, es, fr, it, nl, pl, pt
- Źródła
- Źródła sprawdzone 3 listopada 2026: 5
ŹródłaŹródła: 5
- Sénat, „Direction de l'action du Gouvernement : coordination du travail gouvernemental (avis n° 149, tome IX)”, 22 listopada 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (dostęp 3 listopada 2026)
- Sénat, „Programmation militaire 2014-2019”. https://www.senat.fr/leg/pjl12-822.html (dostęp 3 listopada 2026)
- Sénat, „Projet de loi de finances pour 2015 : Direction de l'action du Gouvernement : coordination du travail gouvernemental - Sénat”, 20 listopada 2014. https://www.senat.fr/rap/a14-110-9/a14-110-91.html (dostęp 3 listopada 2026)
- Sénat, „Programmation militaire 2014-2019 - Sénat”. https://www.senat.fr/dossier-legislatif/pjl12-822.html (dostęp 3 listopada 2026)
- Commission européenne, „NIS2 Directive: securing network and information systems”. https://digital-strategy.ec.europa.eu/en/policies/nis2-directive (dostęp 3 listopada 2026)
Zacytuj ten artykuł
Brain, „LPM i operatorzy o znaczeniu życiowym (OIV)”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp371_pl_2026,
author = {Brain},
title = {LPM i operatorzy o znaczeniu życiowym (OIV)},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pl/articles/lpm-oiv-operatorzy-o-znaczeniu-zyciowym/},
note = {CC BY 4.0}
}