Référentiel · France

LPM / OIVLe régime de cybersécurité des opérateurs d’importance vitale en France

Le régime français de cybersécurité des opérateurs d’importance vitale : des règles de sécurité fixées par l’ANSSI pour leurs systèmes d’information critiques.

Contactez nos experts
Une loi française

Qu’est-ce que le régime LPM / OIV ?

La France est l’un des rares pays au monde à disposer d’un régime de cybersécurité spécifique pour ses infrastructures les plus critiques, antérieur à la directive NIS et distinct de celle-ci. Institué par la Loi de Programmation Militaire de 2013, le régime des Opérateurs d’Importance Vitale (OIV) impose aux organisations dont la défaillance ou la compromission pourrait mettre en danger la survie de la nation des obligations de cybersécurité parmi les plus exigeantes au monde.

Environ 220 à 250 opérateurs, publics et privés, sont désignés comme OIV dans 12 secteurs d’activités d’importance vitale. Leur liste est confidentielle, couverte par le secret de la défense nationale. Les OIV eux-mêmes ne peuvent pas révéler publiquement leur statut. Ce régime, renforcé par la LPM 2024-2030 promulguée le 1er août 2023, impose des obligations techniques et organisationnelles précises sur les Systèmes d’Information d’Importance Vitale (SIIV), contrôlées par l’ANSSI.

Cette page vous présente le cadre réglementaire LPM/OIV, ses exigences clés, les prestataires qualifiés à mobiliser, les sanctions applicables et les étapes de mise en conformité.

Le dispositif des Opérateurs d’Importance Vitale s’inscrit dans le cadre plus large des Secteurs d’Activités d’Importance Vitale (SAIV), mis en place en 2006 pour protéger les opérateurs jugés indispensables à la survie de la nation contre les actes malveillants et les risques divers. La loi de programmation militaire de 2013 a ajouté à ce dispositif un volet cybersécurité structurant, en imposant aux OIV de sécuriser leurs systèmes d’information les plus critiques.

Les 12 secteurs d’activités d’importance vitale

Les OIV sont répartis dans 12 secteurs d’activités d’importance vitale, chacun encadré par un arrêté sectoriel spécifique définissant les règles de sécurité applicables :

  • Santé
  • Gestion de l’eau
  • Alimentation
  • Énergie (électrique, gaz naturel, hydrocarbures pétroliers)
  • Transports (terrestres, maritimes, aériens)
  • Audiovisuel et information
  • Communications électroniques
  • Industrie
  • Finances
  • Nucléaire
  • Activités industrielles de l’armement
  • Espace

Qu’est-ce qu’un SIIV ?

Un Système d’Information d’Importance Vitale (SIIV) est un système d’information dont la compromission ou l’indisponibilité pourrait avoir des conséquences graves sur les activités vitales d’un OIV. Les SIIV représentent en moyenne 3 % des systèmes d’information des OIV, mais concentrent l’essentiel des exigences réglementaires.

Pour déterminer si un système d’information est un SIIV, l’OIV doit réaliser une analyse des impacts sur ses activités vitales. La déclaration d’un SIIV est classifiée au niveau « Confidentiel défense » et doit être transmise à l’ANSSI sur clé USB et en copie papier. Les OIV doivent envoyer chaque année, entre le 1er et le 30 novembre, une mise à jour de la déclaration de leurs SIIV à l’ANSSI.

LPM et NIS 2 : deux régimes complémentaires

Le régime LPM/OIV et la directive NIS 2 sont deux cadres distincts mais complémentaires. Les OIV sont soumis aux deux régimes simultanément. En cas de conflit entre les deux cadres, les exigences les plus strictes prévalent. L’ANSSI est l’autorité compétente pour les deux régimes en France.

Décryptage

Les exigences clés du régime LPM / OIV

L’ANSSI définit 20 règles techniques et organisationnelles de sécurité que les OIV doivent appliquer à leurs SIIV. Ces règles couvrent dix domaines fondamentaux.

  1. La désignation d’un coordinateur SSI

    Chaque OIV doit désigner un coordinateur de la sécurité des systèmes d’information, interlocuteur officiel de l’ANSSI et du ministère coordinateur du secteur. Ce coordinateur est responsable de la mise en œuvre des obligations réglementaires et du suivi des relations avec les autorités compétentes.

  2. La déclaration des SIIV

    L’OIV doit cartographier l’ensemble de ses systèmes d’information, analyser les impacts d’une compromission sur ses activités vitales, et déclarer à l’ANSSI les systèmes qualifiés de SIIV. Cette cartographie doit être tenue à disposition de l’ANSSI pour lui permettre d’apprécier l’impact d’une compromission éventuelle.

    L’ANSSI peut imposer à un OIV de déclarer un système d’information comme SIIV si elle estime que sa compromission présente un risque pour la sécurité nationale. La déclaration doit être mise à jour annuellement et lors de tout changement significatif dans l’architecture du SIIV.

  3. La PSSI-SIIV approuvée par l’ANSSI

    Chaque OIV doit élaborer une Politique de Sécurité des Systèmes d’Information pour ses SIIV (PSSI-SIIV), conforme aux exigences de l’ANSSI et aux arrêtés sectoriels applicables. Cette politique doit porter les enjeux SSI au plus haut niveau de l’entité et inclure des plans de formation et de sensibilisation à la SSI.

    La PSSI-SIIV constitue le document de référence pour la démarche d’homologation et doit être révisée régulièrement, notamment lors de tout changement majeur dans l’organisation ou son environnement de menace.

  4. L’homologation de sécurité de chaque SIIV

    L’homologation de sécurité est l’acte par lequel le responsable d’un SIIV atteste formellement que les risques de sécurité ont été identifiés, évalués, et que les mesures nécessaires sont mises en œuvre pour les traiter à un niveau acceptable. Elle est obligatoire pour chaque SIIV et doit inclure un audit réalisé selon les critères de l’ANSSI.

    Le cycle d’homologation doit être renouvelé tous les trois ans. Si un SIIV subit un changement majeur, un réexamen du dossier d’homologation peut être nécessaire. Les règles de sécurité définies par les arrêtés sectoriels doivent être appliquées à tous les SIIV dans les délais prévus, indépendamment de la démarche d’homologation.

  5. Les audits de sécurité par des PASSI qualifiés ANSSI

    Les OIV doivent faire auditer périodiquement leurs SIIV par des Prestataires d’Audit de la Sécurité des Systèmes d’Information (PASSI) qualifiés par l’ANSSI. Le recours à un PASSI qualifié est une obligation réglementaire imposée par la LPM : un prestataire non qualifié ne peut pas réaliser ces audits.

    La qualification PASSI est délivrée pour trois ans par l’ANSSI et couvre cinq domaines d’audit : architecture, configuration, code source, tests d’intrusion, et audit organisationnel et physique. La version 2.2 du référentiel PASSI, en vigueur depuis le 1er août 2024, introduit deux niveaux d’assurance : Substantiel et Élevé, ce dernier étant requis pour les audits des SIIV des OIV.

  6. La détection des incidents par des PDIS qualifiés ANSSI

    Les OIV doivent mettre en place des systèmes de détection des incidents de sécurité sur leurs SIIV, opérés par des Prestataires de Détection d’Incidents de Sécurité (PDIS) qualifiés par l’ANSSI. Neuf prestataires sont actuellement qualifiés PDIS par l’ANSSI.

    Un PDIS qualifié assure une surveillance continue 24h/24, 7j/7, 365 jours par an, avec des données hébergées en France ou en Europe. Les systèmes de détection doivent être positionnés à des points d’interconnexion entre les SI industriels et les réseaux IT traditionnels. Les OIV peuvent être leur propre prestataire de détection s’ils sont eux-mêmes qualifiés PDIS par l’ANSSI.

    La LPM 2024-2030 renforce cette obligation : les OIV devront se doter de leur propre système de détection, et l’ANSSI pourra prescrire des mesures de filtrage des noms de domaine en cas d’attaque.

  7. La déclaration des incidents à l’ANSSI

    Les OIV doivent notifier à l’ANSSI, sans délai, tout incident de sécurité affectant leurs SIIV. Les informations à communiquer incluent la nature de l’incident, les systèmes affectés, les conséquences constatées ou prévisibles, et les mesures prises pour y remédier. Cette obligation de notification est distincte de celle prévue par le RGPD, qui couvre uniquement les violations de données personnelles.

  8. Le cloisonnement et la cartographie des SIIV

    Un cloisonnement entre les différentes parties du SIIV doit être appliqué pour ralentir la propagation des attaques et limiter leur impact. Ce cloisonnement s’appuie sur une architecture segmentée, avec des zones de sécurité distinctes et des flux inter-zones maîtrisés et documentés.

  9. Les contrôles d’accès renforcés

    La gestion des identités et des accès aux locaux et aux systèmes hébergeant les SIIV doit limiter l’exposition aux attaques et assurer la traçabilité des accès. Des comptes dédiés à l’administration doivent être utilisés pour prévenir les attaques sur le SIIV. Le principe du moindre privilège s’applique à l’ensemble des accès logiques et physiques.

  10. Le respect des référentiels techniques ANSSI

    Les OIV doivent respecter les référentiels techniques publiés par l’ANSSI, notamment le Référentiel Général de Sécurité (RGS) pour le chiffrement des communications, et les guides sectoriels SIIV. Chaque SIIV doit transmettre annuellement à l’ANSSI un tableau de bord de suivi des indicateurs SSI, conformément à la règle 20 des arrêtés sectoriels.

Cartographie croisée

La LPM face aux exigences transverses

Correspondance avec les 12 exigences communes aux référentiels cyber : chaque carte renvoie au comparatif détaillé de l’exigence.

11 obligations explicites et 1 exigence partielle sur les 12 familles d’exigences communes.

Obligation explicite Exigence partielle
Les échéances

Calendrier d’application

  1. Passé

    LPM initiale : création du régime OIV

    L’article 22 de la loi de programmation militaire du 18 décembre 2013 crée le régime de cybersécurité des OIV et désigne l’ANSSI comme autorité compétente.

  2. Passé

    Publication des arrêtés sectoriels

    Les arrêtés sectoriels définissant les règles de sécurité applicables à chaque secteur entrent en vigueur par vagues : santé, eau et alimentation (juillet 2016), énergie et transports (octobre 2016), audiovisuel, communications et industrie (janvier 2017), finances (janvier 2017), nucléaire (avril 2017), armement (octobre 2017).

  3. Passé

    LPM 2024-2030 : renforcement des obligations

    La loi de programmation militaire 2024-2030, promulguée le 1er août 2023, renforce le dispositif OIV sur plusieurs points : extension des obligations aux sous-traitants critiques des OIV, renforcement des capacités de détection de l’ANSSI, obligation pour les OIV de se doter de leur propre système de détection, et pouvoir de l’ANSSI de prescrire des mesures de filtrage en cas d’attaque. La LPM 2024-2030 consacre un budget de 4 milliards d’euros à la cybersécurité.

  4. En cours

    Nouvelles obligations de détection et réponse renforcées

    Les nouvelles obligations de détection et de réponse aux incidents introduites par la LPM 2024-2030 entrent progressivement en vigueur. Les OIV doivent gérer simultanément les exigences LPM et les nouvelles obligations NIS 2, avec l’ANSSI comme interlocuteur commun.

Les risques

Sanctions et risques en cas de non-conformité

Le régime LPM/OIV prévoit des sanctions pénales, distinctes des sanctions administratives prévues par NIS 2 ou le RGPD. La désignation OIV étant confidentielle, les sanctions ne sont pas rendues publiques.

Manquements aux obligations SIIV

750 000 €
pour les personnes morales (75 000 € pour les dirigeants)

Les manquements aux obligations de sécurité imposées par les arrêtés sectoriels exposent les dirigeants à des sanctions pénales pouvant atteindre 75 000 euros d’amende, et les personnes morales à des amendes pouvant aller jusqu’à 750 000 euros, conformément aux articles L.1332-6-1 à L.1332-7 du Code de la défense.

Obstacle aux inspections ANSSI

45 000 €

L’obstacle aux contrôles et inspections de l’ANSSI est sanctionné par des amendes pouvant atteindre ce montant.

Mesures de l’ANSSI et des préfets

Au-delà des sanctions pénales, l’ANSSI dispose de pouvoirs de mise en demeure et peut imposer des mesures correctives aux OIV qui ne respectent pas leurs obligations. En cas de crise majeure, le Premier ministre peut imposer des mesures d’urgence aux OIV pour protéger la sécurité des SIIV. Les préfets de zone de défense et de sécurité peuvent également intervenir dans ce cadre.

Votre feuille de route

Les étapes de mise en conformité LPM / OIV

  1. Vérifier la désignation OIV

    La première action consiste à confirmer le statut OIV de l’organisation auprès du ministère coordinateur du secteur d’activité concerné. La désignation est notifiée directement par le Premier ministre et couverte par le secret de la défense nationale.

  2. Nommer un coordinateur SSI

    L’OIV doit désigner officiellement un coordinateur de la sécurité des systèmes d’information, qui sera l’interlocuteur de l’ANSSI et du ministère coordinateur. Ce coordinateur doit disposer des compétences, de l’autorité et des moyens nécessaires pour piloter la démarche de conformité.

  3. Déclarer les SIIV

    L’OIV doit cartographier l’ensemble de ses systèmes d’information, conduire une analyse des impacts sur ses activités vitales, et déclarer à l’ANSSI les systèmes qualifiés de SIIV. Cette déclaration, classifiée « Confidentiel défense », doit être transmise sur clé USB et en copie papier, et mise à jour annuellement.

  4. Rédiger la PSSI-SIIV

    L’OIV doit élaborer sa Politique de Sécurité des Systèmes d’Information pour ses SIIV, conforme aux exigences de l’ANSSI et aux arrêtés sectoriels applicables. La PSSI-SIIV constitue le document de référence pour la démarche d’homologation.

  5. Homologuer les SIIV et conduire les audits PASSI

    L’homologation de sécurité et les audits PASSI ne sont pas deux étapes séquentielles mais des démarches menées en parallèle : l’audit réalisé par un prestataire qualifié PASSI par l’ANSSI constitue l’une des mesures constitutives du dossier d’homologation, et non un prérequis distinct. L’OIV doit constituer le dossier d’homologation de chaque SIIV en s’appuyant sur la PSSI-SIIV, les résultats des audits, et l’ensemble des preuves de conformité aux arrêtés sectoriels applicables. L’audit doit être réalisé au niveau d’assurance Élevé, par un prestataire figurant sur la liste des PASSI qualifiés publiée par l’ANSSI. Ce cycle d’homologation doit être renouvelé tous les trois ans et lors de tout changement majeur affectant le SIIV.

Questions fréquentes

LPM / OIV en 4 questions

Comment savoir si mon organisation est un OIV ?

La désignation OIV est confidentielle et notifiée directement par le Premier ministre. Si votre organisation opère dans l’un des 12 secteurs d’activités d’importance vitale et que vous n’avez pas été notifié, vous pouvez contacter le ministère coordinateur de votre secteur pour vérifier votre statut. Les OIV désignés ne peuvent pas révéler publiquement leur statut.

Quelle est la différence entre OIV et OSE (NIS 1) / entité essentielle (NIS 2) ?

Les OIV sont désignés au titre de la LPM française, selon des critères liés à la survie de la nation. Les entités essentielles sont désignées au titre de la directive NIS 2 européenne, selon des critères de taille et de secteur. Un OIV peut également être une entité essentielle au sens de NIS 2. Les deux régimes coexistent et l’ANSSI est l’autorité compétente pour les deux en France.

Qu’est-ce qu’un PASSI et pourquoi est-il obligatoire pour les OIV ?

Un PASSI (Prestataire d’Audit de la Sécurité des Systèmes d’Information) est un prestataire qualifié par l’ANSSI pour réaliser des audits de sécurité. Le recours à un PASSI qualifié est une obligation réglementaire imposée par la LPM pour les audits des SIIV. Un prestataire non qualifié ne peut pas réaliser ces audits. La qualification PASSI est délivrée pour trois ans par l’ANSSI.

Les sous-traitants des OIV sont-ils concernés par la LPM ?

Oui. Les règles de sécurité définies par les arrêtés sectoriels s’appliquent aux SIIV opérés par les sous-traitants des OIV. Les OIV sont responsables de garantir l’application des règles de sécurité par leurs sous-traitants. La LPM 2024-2030 renforce cette obligation en étendant explicitement les exigences aux sous-traitants critiques des OIV.

Pourquoi nous faire confiance ?

Votre conformité LPM / OIV avec Fidens

Identification des SIIV, application des règles sectorielles, préparation des inspections : nos consultants accompagnent les OIV dans le respect de leurs obligations.

40 Consultants experts Travaillez avec des spécialistes reconnus de la cybersécurité des SI, qui sont certifiés Lead Auditor, Lead Implementor et OSCP.
360° Offre Cyber complète Conseil en gouvernance, audits fonctionnels et techniques, solutions logicielles SMSI et formations.
+3000 Missions réalisées Bénéficiez de retours d'expérience complets et adoptez une approche pragmatique pour votre cybersécurité.

Contactez nos experts cybersécurité