État des textes au . Nous mettons cette fiche à jour quand la réglementation évolue.
Définition
La loi de programmation militaire (LPM) 2014-2019, par son article 22 (loi n° 2013-1168 du 18 décembre 2013), a instauré le régime français de cybersécurité des opérateurs d'importance vitale (OIV). Ces opérateurs, publics ou privés, exploitent des systèmes d'information d'importance vitale (SIIV) dont l'atteinte porterait un préjudice grave à la Nation. C'est le premier dispositif contraignant de cybersécurité imposé par l'État à des entreprises. La LPM 2024-2030 (loi n° 2023-703 du 1er août 2023) l'a complété, notamment par une obligation propre aux éditeurs de logiciels.
Pourquoi c'est important
Les OIV sont soumis à des règles de sécurité fixées par arrêtés sectoriels, à l'obligation de recourir à des produits et prestataires qualifiés par l'ANSSI, à la notification des incidents et à des contrôles. La liste des OIV et le détail de leurs SIIV sont classifiés. Depuis le 1er juin 2024, l'article L. 2321-4-1 du code de la défense, issu de l'article 66 de la LPM 2024-2030 (décret n° 2024-421), oblige les éditeurs de logiciels à notifier à l'ANSSI les vulnérabilités significatives et les incidents touchant leurs produits, et à en informer leurs utilisateurs. Le régime des OIV coexistera avec celui de NIS2 une fois la loi de transposition adoptée : un OIV sera souvent soumis aux deux selon ses systèmes. La convergence des systèmes industriels (OT) et informatiques (IT) place les SIIV industriels au premier plan, car un incident sur un automate peut avoir des conséquences physiques.
Ce que fait AOCSI
Les audits réglementaires des SIIV doivent être confiés à un prestataire qualifié PASSI, ce qu'AOCSI n'est pas à ce jour. Nous intervenons en conseil : cartographie des systèmes, mesure de l'écart aux règles, articulation des obligations LPM et NIS2, dans le cadre d'un accompagnement ou de notre pôle conformité NIS2. Pour un éditeur, nous aidons à organiser le processus de traitement et de notification des vulnérabilités.
Textes et sources
Pôle de rattachementConformité NIS2Prestations et prix