En cybersécurité, un opérateur d’importance vitale ne protège pas uniquement des données ou un réseau interne. Il doit assurer la continuité de services dont l’interruption peut affecter le pays. Le statut d’OIV impose donc un cadre de sécurité renforcé, piloté par l’État et suivi par l’ANSSI.
OIV : une notion de défense appliquée aux activités essentielles
Un opérateur d’importance vitale (OIV) est une organisation publique ou privée qui exerce une activité indispensable au fonctionnement du pays, à la sécurité de la population ou à la continuité économique. Son importance ne dépend pas seulement de sa taille. Elle tient surtout aux conséquences d’une défaillance majeure, qu’elle soit volontaire ou accidentelle.
Testez vos connaissances : Cybersécurité des OIV
Le dispositif de protection repose sur le code de la défense. Il a été renforcé par la loi de programmation militaire (LPM) de 2013, qui a introduit des obligations spécifiques pour les systèmes les plus sensibles. L’objectif est de limiter les effets en cascade d’une cyberattaque contre un opérateur : arrêt d’un service public, perturbation d’un approvisionnement, indisponibilité d’un réseau ou atteinte à la sécurité nationale.
Une désignation par l’État, pas une auto-déclaration
Le statut d’OIV est attribué par l’État, avec l’intervention des ministères coordonnateurs et de l’ANSSI pour les volets numériques. La liste détaillée des opérateurs n’est pas publique, car sa divulgation faciliterait l’identification de cibles sensibles. Le dispositif couvre toutefois 12 secteurs d’activité, parmi lesquels l’énergie, les transports, la santé, les communications électroniques, l’alimentation, la finance et la gestion de l’eau.
Cette confidentialité ne dispense pas les organisations concernées de structurer leur gouvernance. La direction générale, les responsables métiers, la DSI, le RSSI et les équipes de sûreté doivent partager une même vision des dépendances critiques et des scénarios d’indisponibilité.
Le SIIV, véritable périmètre de la cybersécurité OIV
Un OIV ne soumet pas automatiquement l’ensemble de son système d’information aux mêmes exigences. Le périmètre prioritaire est le système d’information d’importance vitale, ou SIIV. Il regroupe les systèmes nécessaires à l’exercice de l’activité vitale de l’opérateur.
Identifier ce qui est réellement critique
Un SIIV peut inclure des applications métier, des serveurs, des automates industriels, des postes de supervision, des annuaires d’identité, des réseaux d’administration ou des interconnexions avec des prestataires. Le critère déterminant est l’impact d’une atteinte à sa sécurité ou à son fonctionnement : interruption de production, risque pour la population, incapacité à piloter une infrastructure ou perte de contrôle d’un processus essentiel.
La cartographie ne doit donc pas se limiter à un inventaire technique. Elle doit faire apparaître les flux, les comptes à privilèges, les dépendances cloud, les liaisons avec les filiales et les accès de maintenance. Ce travail permet de déclarer le SIIV, de délimiter les responsabilités et d’éviter qu’un composant secondaire en apparence devienne le point d’entrée d’une attaque.
Le socle d’une protection crédible est la relation entre une fonction vitale et les briques qui la rendent possible. Un serveur de sauvegarde, une station d’ingénierie ou un lien de télémaintenance peuvent ne pas assurer directement le service final. Leur indisponibilité peut pourtant empêcher la reprise. Traiter ces dépendances de reprise comme des actifs de premier rang améliore la résilience, les exercices de crise et les décisions d’investissement.
Les 20 règles de la LPM : des obligations à traduire en actions
Les OIV doivent appliquer des règles de sécurité fixées par des arrêtés sectoriels. Souvent désignées comme les 20 règles de la LPM, elles couvrent l’organisation, la prévention, la détection et la réaction. Elles forment une démarche continue de maîtrise des risques, et non une checklist à remplir une fois.
Gouvernance, homologation et maintien en conditions de sécurité
L’opérateur doit notamment disposer d’une politique de sécurité des systèmes d’information (PSSI), cartographier son périmètre, analyser les risques et mettre en œuvre une homologation de sécurité. L’homologation formalise l’acceptation d’un niveau de risque résiduel par une autorité compétente. Elle ne revient pas à déclarer un système parfaitement sécurisé.
Le maintien en conditions de sécurité suppose de suivre les vulnérabilités, d’évaluer leur exposition réelle, d’installer les correctifs selon des priorités adaptées et de documenter les exceptions. Dans un environnement industriel ou ancien, appliquer un correctif sans test peut perturber l’exploitation. Ne pas le traiter expose toutefois le SIIV. La décision doit donc être tracée et accompagnée de mesures proportionnées.
Déclarer, détecter et gérer l’incident
Un incident affectant un SIIV doit être déclaré selon les modalités prévues. Cette déclaration permet d’évaluer rapidement la menace, de coordonner la réponse avec l’ANSSI et, si nécessaire, de partager des éléments utiles à la protection d’autres acteurs. L’organisation doit pouvoir qualifier l’incident, conserver les preuves, isoler les équipements concernés et maintenir une communication de crise maîtrisée.
Cette capacité repose généralement sur une supervision de sécurité, un SOC interne ou externalisé, des sondes de détection et des procédures testées. Pour certaines prestations, le recours à des prestataires qualifiés par l’ANSSI peut être obligatoire. La sous-traitance ne transfère pas la responsabilité de l’OIV : les exigences de sécurité doivent figurer dans les contrats et s’appliquer aux accès comme aux contrôles des fournisseurs.
Protéger un SIIV : les mesures techniques qui comptent vraiment
Les exigences réglementaires prennent forme dans une architecture cohérente. L’objectif est de réduire les voies d’intrusion, de limiter la propagation d’une compromission et de conserver une capacité de reprise.
| Mesure | Finalité sur un SIIV | Point de vigilance |
|---|---|---|
| Authentification forte | Réduire le risque d’usurpation sur les accès sensibles et distants. | Protéger en priorité les comptes administrateurs et de télémaintenance. |
| Cloisonnement réseau | Empêcher qu’une compromission bureautique atteigne les environnements critiques. | Contrôler les flux réellement nécessaires, y compris les flux historiques. |
| Chiffrement | Préserver la confidentialité des données et des échanges. | Gérer les clés, les sauvegardes et les accès de secours. |
| Détection et journalisation | Identifier rapidement une activité anormale et enquêter. | Définir qui analyse les alertes et dans quel délai. |
| Sauvegardes testées | Restaurer un service après chiffrement, sabotage ou erreur. | Tester la restauration, pas seulement la réalisation des copies. |
Le chiffrement est utile lorsque des informations sensibles circulent entre sites, équipes et prestataires. Il ne remplace ni le contrôle des identités ni la segmentation. Un utilisateur compromis peut accéder à des données déchiffrées si ses droits sont excessifs. La protection doit donc associer confidentialité, intégrité, disponibilité et traçabilité.
OIV, OSE, EE et EI : comprendre l’élargissement européen
Le modèle OIV est un dispositif français centré sur les intérêts vitaux. La directive NIS a ensuite introduit la notion d’opérateur de services essentiels (OSE), afin d’encadrer au niveau européen des services dont la continuité est importante pour la société ou l’économie. En France, les deux régimes peuvent concerner des organisations différentes ou se recouper selon les activités exercées.
Avec NIS 2, le périmètre européen s’élargit autour des entités essentielles (EE) et des entités importantes (EI). Davantage de secteurs et d’organisations doivent ainsi démontrer une gestion structurée des risques cyber, de la chaîne d’approvisionnement et des incidents. NIS 2 ne supprime pas les obligations propres aux OIV. Elle complète un cadre réglementaire où le niveau d’exigence dépend du rôle réel de l’entité.
- OIV : protection des activités vitales françaises et de leurs SIIV.
- OSE : continuité de services essentiels au sens de la première directive NIS.
- EE : catégorie NIS 2 soumise à des exigences et à une supervision renforcées.
- EI : catégorie NIS 2 couvrant d’autres organisations importantes pour l’économie et la société.
Passer de la conformité documentaire à la résilience opérationnelle
Pour une organisation concernée, la bonne approche consiste à partir des services à maintenir, puis à remonter vers les systèmes, les fournisseurs, les identités et les procédures indispensables. Cette méthode évite de réduire la cybersécurité OIV à un dossier de conformité produit à échéance fixe.
- Identifier les activités vitales et leurs scénarios d’arrêt.
- Cartographier les SIIV, les flux, les dépendances et les accès privilégiés.
- Évaluer les risques, formaliser l’homologation et suivre les écarts.
- Déployer les protections, la détection et les mécanismes de reprise.
- Tester la gestion de crise avec les métiers, la direction et les prestataires.
En cas de non-respect, l’opérateur s’expose à des contrôles, à une mise en demeure et à des sanctions prévues par le cadre légal. Le risque principal reste opérationnel : découvrir, au moment d’une attaque, que la procédure de secours n’est pas praticable ou qu’un prestataire dispose d’un accès non maîtrisé. La cybersécurité d’un OIV se mesure alors à une capacité concrète : continuer à assurer l’essentiel, même sous contrainte.