Loi de programmation militaire (LPM) et cybersécurité

Définition

La loi de programmation militaire, LPM, est le texte législatif français qui, au-delà de son objet initial de programmation des moyens des armées, a introduit dès 2013 les premières obligations de cybersécurité applicables aux opérateurs d'importance vitale, plusieurs années avant l'adoption de la directive européenne NIS. Les dispositions cyber de la LPM imposent à ces opérateurs de mettre en œuvre des systèmes de détection qualifiés par l'ANSSI sur leurs systèmes d'information d'importance vitale, de déclarer sans délai à l'agence les incidents de sécurité affectant ces systèmes, de se soumettre à des contrôles menés par des services de l'État ou des prestataires qualifiés PASSI, et de respecter des règles de sécurité fixées par arrêté sectoriel pour chaque secteur d'activité d'importance vitale concerné. Les lois de programmation militaire successives ont progressivement renforcé et étendu ce dispositif, notamment en élargissant le périmètre des systèmes concernés et en précisant les modalités de contrôle et de sanction applicables en cas de manquement. Ce cadre historique, antérieur et distinct de la directive NIS2, continue de s'appliquer en parallèle pour les opérateurs d'importance vitale, créant potentiellement un cumul d'obligations pour les organisations relevant simultanément des deux régimes, ce qui nécessite une articulation attentive entre les exigences respectives de chaque cadre réglementaire.