A LPM e os operadores de importância vital
O que é um operador de importância vital, o que a lei de programação militar de 2013 lhe impõe e o que a NIS 2 muda.
Em 30 segundos
- Onde acontece
- Nos operadores públicos e privados considerados de importância vital para a Nação. Em 2018, um relatório do Senado contava mais de 200, repartidos por 12 setores de atividade1.
- O que a lei pretende
- Que estes operadores apliquem regras de segurança, detetem os ataques, comuniquem os incidentes e aceitem controlos23.
- O reflexo
- Se trabalha num destes operadores, comunique à sua equipa de segurança qualquer incidente informático, porque o próprio operador tem a obrigação de notificar o Estado dos incidentes informáticos importantes3.
- Se já aconteceu
- Siga o procedimento interno da sua organização. As fontes aqui citadas não descrevem nenhum procedimento para um colaborador.
Do que se trata
Algumas organizações prestam serviços de que o país não pode prescindir. O direito francês chama-lhes operadores de importância vital, ou OIV. Desde a lei de programação militar (LPM) de 2013, o relatório do Senado de 2014 descreve uma lei que reforça as obrigações destes operadores, entre as quais a de notificar os incidentes informáticos importantes3.
Um colaborador de um OIV, ou de um prestador que trabalhe para ele, não é visado nominalmente por estes textos. As obrigações recaem sobre o operador. Pode deduzir-se que se repercutem no trabalho das suas equipas, mas os textos aqui citados não o dizem.
Perguntas diretas
O que é um operador de importância vital?
O texto do projeto de lei fala de operadores públicos e privados identificados como «de importância vital para o potencial de guerra ou económico, a segurança ou a capacidade de sobrevivência da Nação»2. O relatório do Senado de 2018 contabiliza mais de 200, em 12 setores de atividade1.
O que é um SIIV?
O projeto de lei de 2013 fixa regras de segurança para os sistemas de informação cuja violação da segurança ou do funcionamento possa diminuir de forma importante o potencial de guerra ou económico, a segurança ou a capacidade de sobrevivência da Nação2. «SIIV» é a sigla habitual para estes sistemas, e não provém das fontes aqui citadas. Segundo o relatório de 2018, a ANSSI publicou em 2017 as últimas portarias setoriais, e 1000 destes sistemas tinham sido declarados à agência nesse ano1.
Quem é a ANSSI?
A Agence nationale de la sécurité des systèmes d'information é a autoridade nacional em matéria de segurança e defesa dos sistemas de informação1. Antes da LPM, o seu papel era essencialmente de aconselhamento e alerta. Desde então, segundo o relatório de 2014, dispõe de amplos poderes de ação3.
Um colaborador arrisca uma sanção?
Os textos aqui citados preveem sanções contra o operador, não contra o colaborador. O projeto de lei de 2013 punia com uma coima de 150 000 euros o incumprimento das obrigações de segurança, com intimação prévia, exceto no caso da falta de comunicação de um incidente. As pessoas coletivas ficavam ainda sujeitas ao regime de multa do artigo 131-38 do código penal2. As fontes aqui citadas não permitem verificar se o texto aprovado mantém estes montantes.
1O que muda para os colaboradores1 min
Os textos nada dizem sobre os colaboradores. Fixam obrigações ao operador, e é ele que as repercute internamente.
Três pontos do projeto de lei de 2013 tocam o trabalho quotidiano. O operador aplicava, a expensas suas, as regras de segurança fixadas pelo Estado2. Uma ferramenta ou um procedimento impostos pela segurança podem, por isso, resultar desta obrigação. As regras podiam também prescrever sistemas de deteção qualificados, explorados por prestadores qualificados, pela ANSSI ou por outros serviços do Estado2. Por fim, o projeto previa que o operador informasse o Primeiro-Ministro «sem demora» dos incidentes que afetassem os seus sistemas2. O texto não o escreve, mas uma obrigação destas pressupõe que o incidente chegue depressa a quem dele está encarregado. O relatório de 2014, esse, fala da obrigação de notificar os incidentes informáticos importantes3.
2O que muda para a direçãoDireção1 min
O projeto de lei de 2013 fazia o operador suportar o custo das regras de segurança e o dos controlos que o Primeiro-Ministro pode pedir2. Esses controlos são realizados pela ANSSI, por serviços do Estado ou por prestadores qualificados2.
O relatório de 2014 resume a mudança: a lei prevê nomeadamente a obrigação de notificar os incidentes informáticos importantes ou a realização de auditorias regulares3. Em 2017, a ANSSI realizou 63 auditorias junto dos ministérios e dos OIV, e os OIV representam quase metade da atividade de auditoria da agência1.
3O que diz o textoTexto oficial1 min
A lei n.º 2013-1168, de 18 de dezembro de 2013, foi promulgada e publicada no Diário Oficial francês de 19 de dezembro de 20134. O capítulo sobre a ciberameaça assenta no Livro Branco de abril de 2013, que previa que o Estado fixasse normas de segurança e que os operadores notificassem os incidentes3.
Na lei, o artigo 21 atribui ao Primeiro-Ministro a competência em matéria de defesa dos sistemas de informação, e o artigo 22 reforça as obrigações dos OIV3. O projeto de lei apresentado em 2 de agosto de 2013 detalhava estas obrigações no código da defesa2:
- regras de segurança fixadas pelo Primeiro-Ministro, aplicadas pelo operador a expensas suas;
- sistemas de deteção qualificados, cujas qualificações são concedidas pelo Primeiro-Ministro;
- informação ao Primeiro-Ministro sem demora em caso de incidente;
- controlo dos sistemas a seu pedido, a expensas do operador;
- medidas impostas pelo Primeiro-Ministro em caso de crise grave.
O projeto previa também que o Estado preservasse a confidencialidade das informações recolhidas junto dos operadores2. Um decreto do Conselho de Estado devia precisar as condições de aplicação2.
Estes elementos provêm do projeto de lei tal como foi apresentado. Os números dos artigos da lei final diferem dos do projeto23.
4Em que ponto está a aplicação2 min
Em 2014, a entrada em vigor dependia ainda de textos de aplicação. Um decreto do Conselho de Estado devia precisar as obrigações dos OIV, e deviam seguir-se portarias setoriais, públicas ou classificadas, na sua maioria durante 20153. Tinham sido lançados grupos de trabalho em meados de outubro de 2014 para a energia e as comunicações eletrónicas3.
O relatório de 2018 mostra o que se seguiu: a execução prosseguiu desde 2014, as últimas portarias setoriais datam de 2017, e 1000 sistemas de importância vital tinham sido declarados nesse ano1. As fontes aqui citadas não dão um balanço mais recente da aplicação da LPM aos OIV.
A passagem à NIS 2
A diretiva NIS, adotada em 6 de julho de 2016, foi transposta em França pela lei de 26 de fevereiro de 2018. A criação da noção de operadores de serviços essenciais permitirá abranger entidades para além dos OIV1.
A diretiva NIS 2 (diretiva 2022/2555) entrou em vigor em janeiro de 2023. Os Estados-Membros tinham até 17 de outubro de 2024 para a transpor, e a primeira diretiva NIS está revogada desde 18 de outubro de 20245. Abrange 18 setores críticos e acrescenta setores como os serviços digitais, a gestão de resíduos, os serviços postais e a administração pública5. Em regra, as entidades médias e grandes destes setores devem adotar medidas de gestão dos riscos e notificar os incidentes importantes às autoridades nacionais5. A diretiva institui também a responsabilidade da direção em caso de incumprimento dessas medidas5.
Em 20 de janeiro de 2026, a Comissão propôs alterações específicas à NIS 2 para clarificar o direito e simplificar a conformidade5. As fontes aqui citadas não precisam o estado da transposição da NIS 2 para o direito francês nem o seu efeito sobre o estatuto de OIV.
Ficha
- Identificador
- CP-371
- Ala
- 6. Governação e GRC
- Competência Brain
- Proteger os dados (safeguard_data)
- Reflexo Brain
- cr-036
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr, it, nl, pt
- Fontes
- 5 fontes verificadas em 3 de novembro de 2026
Fontes5 fontes
- Sénat, «Direction de l'action du Gouvernement : coordination du travail gouvernemental (avis n° 149, tome IX)», 22 de novembro de 2018. https://www.senat.fr/rap/a18-149-9/a18-149-91.pdf (consultado em 3 de novembro de 2026)
- Sénat, «Programmation militaire 2014-2019». https://www.senat.fr/leg/pjl12-822.html (consultado em 3 de novembro de 2026)
- Sénat, «Projet de loi de finances pour 2015 : Direction de l'action du Gouvernement : coordination du travail gouvernemental - Sénat», 20 de novembro de 2014. https://www.senat.fr/rap/a14-110-9/a14-110-91.html (consultado em 3 de novembro de 2026)
- Sénat, «Programmation militaire 2014-2019 - Sénat». https://www.senat.fr/dossier-legislatif/pjl12-822.html (consultado em 3 de novembro de 2026)
- Commission européenne, «NIS2 Directive: securing network and information systems». https://digital-strategy.ec.europa.eu/en/policies/nis2-directive (consultado em 3 de novembro de 2026)
Citar este artigo
Brain, «A LPM e os operadores de importância vital», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp371_pt_2026,
author = {Brain},
title = {A LPM e os operadores de importância vital},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pt/articles/lpm-oiv-operadores-importancia-vital/},
note = {CC BY 4.0}
}