Opérateur d'importance vitale
Pour les articles homonymes, voir OIV.
Un opérateur d'importance vitale (OIV) est, en France, une organisation identifiée par l'État comme ayant des activités indispensables à la survie de la nation[3] ou dangereuses pour la population. En , il y avait 1 369 points d'importance vitale (PIV) opérés par 249 opérateurs d'importence vitale (OIV), classés dans 12 secteurs d'activité d'importance vitale (SAIV) et 4 dominantes[4]. Pour des raisons de sécurité nationale, la liste des OIV n'est pas publique et il est demandé aux entreprises désignées de ne pas communiquer sur leur implication au dispositif.
Le dispositif est décrit par décret en [a] avant d'être codifié au Code de la Défense[5] en .
Définition
[modifier | modifier le code]Un secteur d'activités d'importance vitale (SAIV), tel que défini par l'article R. 1332-2 du Code de la Défense, est constitué d'activités[α] :
- concourant à un même objectif, la production et distribution de biens ou de services indispensables :
- ou présentant un danger grave pour la population.
Un opérateur d'importance vitale, tel que défini par l'article R. 1332-1 du Code de la Défense, est une organisation qui[β] :
- « exerce des activités comprises dans un secteur d'activités d'importance vitale » ;
- « gère ou utilise au titre de cette activité un ou des établissements ou ouvrages, une ou des installations dont le dommage ou l'indisponibilité ou la destruction par suite d'un acte de malveillance, de sabotage ou de terrorisme risquerait, directement ou indirectement :
- d'obérer gravement le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation ;
- ou de mettre gravement en cause la santé ou la vie de la population ».
Désignation
[modifier | modifier le code]Douze secteurs d'activités d’importance vitale (SAIV) ont été définis dans un arrêté du [b], modifié par un arrêté du [c],[4] :
| Dominante | Secteur d'activités d'importance vitale | Ministère coordonnateur |
|---|---|---|
| Régalienne | Activités civiles de l'État | Ministère de l'Intérieur |
| Activités militaires de l'État | Ministère de la Défense | |
| Activités judiciaires | Ministère de la Justice | |
| Humaine | Santé | Ministère chargé de la Santé |
| Gestion de l’eau | Ministère chargé de l'Écologie | |
| Alimentation | Ministère chargé de l'Agriculture | |
| Économique | Énergie | Ministère chargé de l'Énergie |
| Finances | Ministère chargé de l'Économie et des Finances | |
| Transports | Ministère chargé des Transports | |
| Technologique | Communications électroniques, audiovisuel et information | Ministère chargé des Communications électroniques |
| Industrie | Ministère chargé de l'Industrie | |
| Espace et recherche | Ministère chargé de la Recherche |
Les opérateurs d'importance vitale sont désignés pour chaque secteur d'activités d'importance vitale par arrêté du ministre coordonnateur[γ]. Cet arrêté est pris en concertation avec le ou les ministres intéressés, après avis de la commission interministérielle de défense et de sécurité des secteurs d'activités d'importance vitale[γ]. Cette commission est présidée par le secrétaire général de la Défense et de la Sécurité nationale (article R. 1332-10 du Code de la Défense)[γ],[δ].
Chaque ministre coordonnateur d'un secteur d'activité d'importance vitale notifie aux opérateurs d'importance vitale la directive nationale de sécurité (DNS) correspondante[6]. La DNS identifie les risques et les menaces et définit les grands objectifs de sécurité de chaque secteur ou sous-secteur d'activité.
Obligations
[modifier | modifier le code]Les opérateurs d’importance vitale ont pour obligation de[4] :
- « former leurs responsables et leurs directeurs de la sécurité tant au niveau central qu’au niveau local » ;
- « après une analyse de risques, établir un plan de sécurité opérateur (PSO) prenant en compte les attendus de la directive nationale de sécurité au titre de laquelle ils ont été désignés opérateurs d’importance vitale » ;
- « identifier leurs points d’importance vitale qui feront l’objet d’un plan particulier de protection (PPP) à leur charge et d’un plan de protection externe (PPE) à la charge du préfet de département ».
Loi de programmation militaire pour –
[modifier | modifier le code]Le projet de loi de programmation militaire pour – précise qu’il est de la responsabilité de l’État d’assurer une sécurité suffisante des systèmes critiques des opérateurs d'importance vitale. À travers quatre mesures principales, il vise à établir un socle minimum de sécurité pour les organisations[7].
Fin , sur la base du projet de loi, l'État serait en mesure de[8],[7] :
- fixer des obligations comme l’interdiction de connecter certains systèmes critiques à Internet ;
- mettre en place des systèmes de détections par des prestataires labellisés par l’État ;
- vérifier le niveau de sécurité des systèmes d'information critiques à travers un système d’audit ;
- et en cas de crise majeure, de pouvoir imposer les mesures nécessaires aux opérateurs d'importance vitales.
Arrêtés sectoriels d'application
[modifier | modifier le code]Pour chaque secteur ou sous-secteur identifié, le Premier ministre a pris un arrêté d'application écrit par les services de l'Agence nationale de la sécurité des systèmes d'information (ANSSI) définissant les obligations des opérateurs en matière de sécurité informatique.
Les arrêtés ont été pris :
| Secteur ou sous-secteur | Arrêté | Entrée en vigueur | |
|---|---|---|---|
| Sous-secteur « Produits de santé » | [d] | ||
| Secteur « Gestion de l'eau » | [e] | ||
| Secteur « Alimentation » | [f] | ||
| Sous-secteur « Transports terrestres » | [g] | ||
| Sous-secteur « Transports maritime et fluvial » | [h] | ||
| Sous-secteur « Transport aérien » | [i] | ||
| Sous-secteur « Approvisionnement en énergie électrique » | [j] | ||
| Sous-secteur « Approvisionnement en gaz naturel » | [k] | ||
| Sous-secteur « Approvisionnement en hydrocarbures pétroliers » | [l] | ||
| Secteur « Finances » | [m] | ||
| Secteur « Industrie » | [n] | ||
| Sous-secteur « Audiovisuel et information » | [o] | ||
| Sous-secteur « Communications électroniques et Internet » | [p] | ||
| Sous-secteur « Nucléaire » | [q] | ||
| Sous-secteur « Espace » | [r] | ||
| Sous-secteur « Activités industrielles de l'armement » | [s] | ||
| Secteur « Activités civiles de l'État » | [t] | ||
| Sous-secteur « Recherche publique » | [u] | ||
| Sous-secteur « Activités militaires de l'État » | [v] | ||
| Secteur « Activités judiciaires » | [w] | ||
| Sous-secteur « Établissements de santé » | [x] | ||
| Sous-secteur « Veille et alerte sanitaires » | [y] | ||
Ces arrêtés prévoient un délai variant de 3 mois à 2 ans pour la mise en place des mesures listées en annexe I, au nombre de 20, dont notamment :
- la mise en place d'une politique de sécurité des systèmes d'information ;
- la conduite d'une homologation de sécurité ;
- la communication d'éléments sur le système d'information importance vitale (SIIV) mis en place par l'opérateur à l'ANSSI ;
- l'observation des alertes de sécurité et la réaction à celles-ci ;
- la limitation des accès ;
- le cloisonnement des réseaux.
Les annexes II (délais), III (type de système d'information) et IV (type d'incidents) ne sont pas publiques, et sont communiquées par l'ANSSI aux personnes « ayant besoin d'en connaître » et habilitées pour cela.
Notes et références
[modifier | modifier le code]- « Question no 100611 de M. Luc Belot (Socialiste, écologiste et républicain - Maine-et-Loire) », sur questions.assemblee-nationale.fr, 15 novembre 2016 et 24 janvier 2017.
- Sabathé 2010.
- « Le dispositif SAIV », sur cyber.gouv.fr, Agence nationale de la sécurité des systèmes d'information (ANSSI), , mise à jour .
- « La sécurité des activités d'importance vitale », Secrétariat général de la défense et de la sécurité nationale (SGDSN), .
- Coursaget 2010.
- « Question no 9930 de M. Michel Zumkeller (Union des démocrates et indépendants - Territoire de Belfort) », sur questions.assemblee-nationale.fr, 13 novembre 2012 et 28 mai 2013.
- « La loi de programmation militaire et la protection des opérateurs d'importance vitale (OIV) », sur Cyberstratégie.org (version du sur Internet Archive).
- Marc Watin-Augouard, « La loi de programmation militaire et la cybermenace », Les Échos, .
Sur Légifrance :
- articles du Code de la Défense :
- dans le Journal officiel de la République française (JORF) :
- Décret no 2006-212 du relatif à la sécurité des activités d'importance vitale, JORF, no 47, , p. 2889, texte no 1, NOR PRMX0500312D, sur Légifrance.
- Arrêté du fixant la liste des secteurs d'activités d'importance vitale et désignant les ministres coordonnateurs desdits secteurs, JORF, no 129, , p. 8502, texte no 1, NOR PRMX0609332A.
- Arrêté du portant modification de l'arrêté du fixant la liste des secteurs d'activités d'importance vitale et désignant les ministres coordonnateurs desdits secteurs, JORF, no 156, , p. 10823, texte no 6, NOR PRMD0813724A.
- Arrêté du (produits de santé).
- Arrêté du (gestion de l'eau).
- Arrêté du (alimentation).
- Arrêté du (transports terrestres).
- Arrêté du (transports maritime et fluvial).
- Arrêté du (transport aérien).
- Arrêté du (approvisionnement en énergie électrique).
- Arrêté du (approvisionnement en gaz naturel).
- Arrêté du (approvisionnement en hydrocarbures pétroliers).
- Arrêté du (finances) modifié par arrêté du .
- Arrêté du (industrie).
- Arrêté du (audiovisuel et information).
- Arrêté du (communications électroniques et Internet).
- Arrêté du (nuclaire).
- Arrêté du (espace).
- Arrêté du (activités industrielles de l'armement) modifié par arrêté du .
- Arrêté du (activités civiles de l'État).
- Arrêté du (recherche publique).
- Arrêté du (activés militaires de l'État) modifié par arrêté du .
- Arrêté du (activités judiciaires) + rectificatif.
- Arrêté du (établissements de santé).
- Arrêté du (veille et alerte sanitaires).
Annexes
[modifier | modifier le code]Bibliographie
[modifier | modifier le code]- Alain Coursaget, « La sécurité des activités d'importance vitale : Premier bilan du SGDSN », Sécurité et Stratégie, no 4, , p. 5–17 (DOI 10.3917/sestr.004.0005).
- Danilo D'elia (sous la dir. de Frédérick Douzet), La cybersécurité des opérateurs d’importance vitale : Analyse géopolitique des enjeux et des rivalités de la coopération public-privé (thèse en géopolitique à Paris-VIII, no 2017PA080136), (SUDOC 232679673).
- Jean-Marie Desmartis et Bertrand Delmas-Marsalet, « Les activités industrielles de l'armement : Un secteur d'importance vitale », Le Magazine des ingénieurs de l'armement, no 110, , p. 38–39 (lire en ligne).
- Louis Gautier, « Dix ans de sécurité et d'activités d'importance vitale », Défense, no 179, mars–avril 2016, p. 6–7 (lire en ligne).
- Dominique Pierron, « Le ministère de la Défense et la protection des industries du secteur d'activité d'importance vitale « activités industrielles de l'armement » », Sécurité et Stratégie, no 22, , p. 41–48 (DOI 10.3917/sestr.022.0041).
- Jean-Marc Sabathé, « La mise en œuvre du décret SAIV par EDF », Sécurité et stratégie, no 4, , p. 19–22 (DOI 10.3917/sestr.004.0019).
- Bertrand Warusfel, « La protection des réseaux numériques en tant qu'infrastructures vitales », Sécurité et Stratégie, no 4, , p. 31–39 (DOI 10.3917/sestr.004.0031).
