Loi de Programmation Militaire (LPM)

Définition

La Loi de Programmation Militaire (LPM), notamment dans ses dispositions issues de la LPM 2014-2019 (article 22) codifiées au Code de la défense, constitue le socle juridique français imposant des obligations de cybersécurité aux Opérateurs d'Importance Vitale (OIV), c'est-à-dire les organismes publics ou privés dont l'activité est indispensable à la survie de la nation ou dangereuse pour la population, répartis en douze secteurs d'activité d'importance vitale (énergie, transport, santé, finance, communications électroniques, notamment). Les obligations imposées incluent la mise en œuvre de systèmes de détection d'événements de sécurité qualifiés par l'ANSSI, l'obligation de déclaration sans délai des incidents de sécurité affectant les systèmes d'information d'importance vitale (SIIV) à l'ANSSI, la soumission à des contrôles et audits pouvant être menés par l'ANSSI ou des prestataires PASSI qualifiés, et le respect de règles de sécurité fixées par arrêtés sectoriels du Premier ministre. Antérieure au règlement NIS puis à la directive NIS2, la LPM a constitué le premier cadre réglementaire européen de cybersécurité sectorielle contraignante, servant de modèle à la doctrine française de régulation par secteur critique. Les manquements exposent les dirigeants d'OIV à des sanctions pénales et administratives. Le dispositif est aujourd'hui articulé avec la loi de transposition NIS2 qui étend des obligations comparables aux Entités Essentielles et Importantes.