OIV et PDIS : tout ce qu’il faut savoir
Un opérateur d’importance vitale (OIV), qu’est-ce que c’est ?
Un OIV est une organisation, de statut privé ou public, considérée par l’Etat comme étant indispensable au bon fonctionnement de la Nation. Les entités dont l’activité peut s’avérer dangereuse pour la population en cas d’incident grave en font également partie.
L’Etat français a désigné pour la première fois ses opérateurs d’importance vitale (OIV) en décembre 1958. En février 2006, ces derniers ont été structurés en 12 secteurs :
- la santé ;
- les transports ;
- la gestion de l’eau ;
- l’industrie ;
- l’énergie ;
- les finances ;
- les communications ;
- les activités militaires ;
- les activités civiles de l’Etat ;
- l’activité judiciaire ;
- l’alimentation ;
- l’espace et la recherche.
Si, au départ, leurs obligations ne concernaient que la sécurité physique, la Loi de Programmation Militaire (LPM) a ajouté en 2014 un volet cybersécurité. Ainsi, les premières règles imposées aux systèmes d’information de ces OIV (SI d’importance vitale, SIIV) ont été rédigées par l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) et ont été publiées en 2016.
Quelles sont les obligations des OIV ?
Les OIV doivent répondre à 20 règles, pouvant être classées en 5 thématiques : la gouvernance, la maîtrise des risques, la maîtrise des SI, la gestion des incidents de sécurité, la protection des systèmes.
Parmi les obligations majeures, on trouve :
- la nomination d’un référent LPM, interlocuteur privilégié de l’ANSSI et point de contact disponible à tout moment ;
- l’identification des points d’importance vitale (PIV) ;
- l’élaboration du plan de sécurité d’opérateur et la transmission de celui-ci, accompagné de la liste des PIV proposés ;
- la demande des habilitations des délégués pour la défense et la sécurité des PIV ;
- l’élaboration de plans particuliers de protection des PIV désignés (et la transmission aux autorités pour approbation)
- la mise en œuvre des plans particuliers de protection approuvés.
A quels risques un OIV qui ne répondrait pas à ces obligations fait-il face ?
La commission zonale de défense et de sécurité peut, à son initiative, sur demande d’un ministre coordonnateur ou du préfet de département concerné, contrôler les mesures prises pour la sécurité des PIV de l’OIV.
Le contrôle du PIV peut conduire à :
- la révision du plan particulier de protection ;
- la mise en demeure de l’opérateur d’importance vitale dans un délai compris entre un et trois mois ;
- la saisine d’une autorité judiciaire.
