OIV (Opérateurs d'Importance Vitale)

Fonctionnement du régime OIV

Un OIV doit : (1) identifier ses systèmes d'information d'importance vitale (SIIV) en lien avec le ministère coordinateur et l'ANSSI, (2) élaborer un Plan de Sécurité de l'Opérateur (PSO) et un Plan Particulier de Protection (PPP) pour chaque SIIV, (3) mettre en place des règles de sécurité définies par arrêté ministériel sectoriel (organisation de la cybersécurité, protection des SIIV, défense des SIIV, résilience), (4) soumettre ses SIIV à des audits de sécurité réguliers par des prestataires d'audit qualifiés PASSI, (5) déclarer tout incident significatif à l'ANSSI dans les 24h. Des inspections réalisées par l'ANSSI et les ministères coordinateurs vérifient la conformité.

Contexte OT/ICS et systèmes concernés

Pour les OIV industriels (énergie, eau, transports, industrie), les SIIV concernent principalement les systèmes OT/ICS : réseaux SCADA de distribution d'eau, systèmes de contrôle de réseaux électriques, SCADA de pipelines, systèmes de contrôle de l'industrie chimique ou nucléaire. Les règles de sécurité des arrêtés sectoriels s'inspirent fortement de l'IEC 62443 et du NIST SP 800-82, avec des exigences de cartographie, segmentation réseau, gestion des accès, détection d'incidents et réponse. L'ANSSI publie des guides sectoriels (eau, énergie) détaillant les mesures attendues.

Sécurité et mitigation

Conformité OIV pour les systèmes OT : réaliser la cartographie exhaustive des SIIV OT (limites, composants, flux de données), mettre en œuvre les mesures techniques des arrêtés sectoriels (segmentation, contrôle accès, détection), sélectionner des prestataires qualifiés PASSI pour les audits et des PDIS qualifiés pour la détection, maintenir les procédures de déclaration d'incident à l'ANSSI (contact désigné, délais, modèle de déclaration), et intégrer les exigences OIV dans le programme de cybersécurité industrielle global.