LPM, OIV, OSE : qui est concerné et quelles obligations

En cybersécurité, la LPM désigne la loi de programmation militaire du 18 décembre 2013, dont l'article 22 a imposé aux opérateurs d'importance vitale (OIV) de protéger leurs systèmes les plus critiques. En 2018, la transposition de la directive NIS a ajouté un second régime, celui des opérateurs de services essentiels (OSE). La directive NIS 2 s'apprête à élargir ce cadre à des milliers d'entités. Voici qui est concerné par chaque régime, quelles obligations s'appliquent aujourd'hui, et ce qui va changer.

Une loi de programmation militaire fixe, pour plusieurs années, les moyens et les orientations de la défense. Depuis 2013, chacune comporte un volet cyber.

• LPM 2014-2019 (loi du 18 décembre 2013) : son article 22 crée, dans le code de la défense, les obligations de cybersécurité des OIV. C'est elle que l'on désigne habituellement par « la LPM ».
• LPM 2019-2025 (loi du 13 juillet 2018) : son article 34 permet aux opérateurs de communications électroniques de déployer des dispositifs de détection fondés sur des marqueurs techniques, et à l'ANSSI d'en installer elle-même face à une menace, comme le rappelle le Conseil d'État.
• LPM 2024-2030 (loi du 1er août 2023) : elle donne à l'ANSSI le pouvoir d'exiger le blocage ou la redirection de noms de domaine malveillants, et impose aux éditeurs de logiciels de signaler à l'ANSSI les vulnérabilités et incidents significatifs affectant leurs produits, puis d'en informer leurs utilisateurs, selon la FAQ de l'ANSSI.

Ces textes se sont ajoutés à ceux issus du droit européen. La frise ci-dessous montre comment les deux pistes se sont superposées.

Le dispositif de sécurité des activités d'importance vitale (SAIV), créé en 2006, protège les opérateurs jugés indispensables à la survie de la nation contre les actes malveillants et les risques naturels, technologiques ou sanitaires. Les OIV sont identifiés par leur ministère de tutelle et désignés par arrêté. Ils relèvent de 12 secteurs d'activités d'importance vitale :

• alimentation ;
• gestion de l'eau ;
• santé ;
• activités civiles de l'État ;
• activités judiciaires ;
• activités militaires de l'État ;
• énergie ;
• finances ;
• transports ;
• communications électroniques, audiovisuel et information ;
• industrie ;
• espace et recherche.

La liste des OIV est protégée et n'est pas publiée. Le rapport du Sénat sur le projet de loi résilience en dénombre environ 300, qui exploitent quelque 1 500 points d'importance vitale. Au-delà du cyber, un OIV doit rédiger un plan de sécurité d'opérateur, des plans particuliers de protection pour chacun de ses sites et désigner un délégué pour la défense et la sécurité.

L'article 22 de la LPM de 2013 a introduit dans le code de la défense un volet consacré aux systèmes d'information. Les règles détaillées sont fixées par des arrêtés sectoriels : les premiers sont entrés en vigueur le 1er juillet 2016 pour les produits de santé, la gestion de l'eau et l'alimentation, les autres ont suivi. D'après l'ANSSI, un OIV doit :

• identifier et déclarer ses SIIV, les systèmes d'information d'importance vitale, dont la compromission aurait des conséquences graves pour la nation ;
• appliquer les règles de sécurité fixées par l'ANSSI : une vingtaine de règles techniques et organisationnelles couvrant la gouvernance, la gestion des risques, la maîtrise des systèmes, la protection et la gestion des incidents ;
• notifier sans délai ses incidents affectant les SIIV directement à l'ANSSI ;
• se soumettre à des contrôles, réalisés par l'ANSSI, un service de l'État ou un prestataire d'audit qualifié ;
• appliquer, en cas de crise majeure, les mesures que le Premier ministre peut imposer.

Le Premier ministre peut aussi imposer le recours à des systèmes de détection des attaques. Les manquements sont sanctionnés pénalement : jusqu'à 150 000 € d'amende pour les dirigeants et 750 000 € pour la personne morale, selon l'analyse du cabinet Squire Patton Boggs.

La directive européenne NIS, adoptée le 6 juillet 2016, a été transposée en France par la loi du 26 février 2018, le décret du 23 mai 2018 et plusieurs arrêtés. Elle a créé deux catégories :

• les opérateurs de services essentiels (OSE), désignés par arrêté du Premier ministre parce qu'ils fournissent un service essentiel au fonctionnement de la société ou de l'économie. La première liste a été arrêtée en novembre 2018, d'après CMS Francis Lefebvre ;
• les fournisseurs de service numérique (FSN) : places de marché, moteurs de recherche et services d'informatique en nuage d'au moins 50 salariés ou 10 M€ de chiffre d'affaires, qui ne sont pas désignés mais appliquent directement les règles.

Un OSE doit désigner un représentant auprès de l'ANSSI, déclarer ses systèmes d'information essentiels (SIE), notifier ses incidents et se soumettre à des contrôles. Surtout, il applique les 23 règles de sécurité de l'arrêté du 14 septembre 2018, dans des délais de trois mois à trois ans après sa désignation :

• gouvernance : analyse de risques, politique de sécurité, homologation de sécurité, indicateurs, audits ;
• protection : cartographie, configuration, cloisonnement, accès distants, filtrage, comptes et systèmes d'administration, identification, authentification, droits d'accès, maintien en conditions de sécurité, sécurité physique ;
• défense : détection, journalisation, corrélation et analyse des journaux, réponse aux incidents, traitement des alertes ;
• résilience : gestion de crises.

On y retrouve la logique du RGS des administrations : une analyse de risques, puis une homologation. Selon l'article 9 de la loi du 26 février 2018, les manquements exposent les dirigeants d'OSE à des amendes pénales de 75 000 à 125 000 €.

Les deux statuts sont indépendants : un OIV peut être désigné OSE pour d'autres activités, et la plupart des OSE ne sont pas des OIV. Répondez aux quatre questions pour voir le régime qui s'applique aujourd'hui et celui qui vous attend avec NIS 2.