Loi de Programmation Militaire LPM Cybersécurité

Secteurs d'activité d'importance vitale (SAIV) et OIV

Les 12 secteurs d'activité d'importance vitale (SAIV) définis par le Code de la défense français : (1) Activités militaires de l'État ; (2) Activités judiciaires ; (3) Activités civiles de l'État (administration centrale, préfectures) ; (4) Alimentation (grandes surfaces, agriculture) ; (5) Énergie (électricité, gaz, nucléaire, hydrocarbures) ; (6) Eau (eau potable, traitement des eaux usées) ; (7) Transports (aérien, ferroviaire, routier, fluvial, maritime) ; (8) Santé (hôpitaux, industrie pharmaceutique, sécurité sociale) ; (9) Communications électroniques, audiovisuelles et information (télécom, TV, presse) ; (10) Industrie (industries de l'armement, secteurs industriels critiques) ; (11) Finances (banques, assurances, marchés financiers) ; (12) Espace (CNES, industrie spatiale).

Dans chaque SAIV, un Ministre Coordinateur est désigné pour animer la politique de sécurité du secteur. Des arrêtés sectoriels précisent les Systèmes d'Information d'Importance Vitale (SIIV) que les OIV de chaque secteur doivent identifier et protéger selon les règles définies dans l'arrêté. Les SIIV sont les sous-ensembles des SI des OIV identifiés comme critiques pour le maintien des activités vitales de la nation.

Arrêtés sectoriels et règles de sécurité

Les arrêtés sectoriels LPM définissent pour chaque SAIV les règles de sécurité que les OIV doivent appliquer à leurs SIIV. Ces règles couvrent généralement : la gouvernance (organisation de la sécurité, désignation d'un référent sécurité), la gestion des risques (analyse de risques EBIOS RM obligatoire sur les SIIV), les mesures techniques (filtrage réseau, chiffrement, authentification forte, journalisation), la continuité d'activité, les audits de sécurité (PASSI obligatoire), et la gestion des incidents (notification ANSSI dans les délais définis par l'arrêté).

Les arrêtés sectoriels étant d'application contraignante (non publiés au Journal Officiel pour raisons de confidentialité, mais communiqués directement aux OIV concernés), le non-respect expose l'OIV à des sanctions administratives. La mise en conformité avec un arrêté LPM est un projet structurant pour l'OIV, souvent piloté par la DSI/RSSI et accompagné par un prestataire PASSI.

LPM 2024-2030 et articulation avec NIS2

La LPM 2024-2030 (adoptée en juillet 2023) prépare la transposition de NIS2 en France. Elle introduit les notions de : Régulateurs sectoriels cybersécurité (RSC) — désignation d'autorités sectorielles pour superviser la conformité NIS2 dans chaque secteur (ARCEP pour les télécom, ACPR pour le financier, ASN pour le nucléaire, etc.) ; Entités essentielles et importantes — correspondant aux catégories NIS2 (transposition attendue par décret) ; Pouvoirs renforcés de l'ANSSI — accès facilité aux systèmes des entités pour la détection d'incidents, coordination de la réponse aux crises cyber nationales.

Pour les OIV déjà conformes à la LPM, la transition vers NIS2 sera facilitée : les exigences NIS2 sont en grande partie couvertes par les règles LPM existantes. La principale évolution est l'élargissement du périmètre (NIS2 concerne beaucoup plus d'entités que les seuls OIV actuels) et le renforcement des obligations de notification des incidents. L'ANSSI a publié des guides de transition LPM → NIS2 pour accompagner les organisations concernées.