Dès qu'on s'intéresse à la cybersécurité réglementée en France, les sigles s'enchaînent : OIV, LPM, SIIV, PASSI, PDIS, PRIS, SAIV. Ils décrivent en réalité un mécanisme cohérent : l'État désigne des organisations essentielles (les OIV), la loi (la LPM) leur impose des règles sur leurs systèmes critiques (les SIIV), et ces obligations s'appuient sur des prestataires qualifiés par l'ANSSI (PASSI, PDIS, PRIS). Cet article définit chaque terme, montre comment ils s'articulent et indique où trouver les textes de référence.
Vue d'ensemble : comment tout s'emboîte
Le principe est simple. Certaines activités sont si essentielles au pays qu'une cyberattaque sur elles pourrait porter atteinte à la Nation. Pour les protéger, la loi impose des obligations à leurs exploitants. L'ANSSI (Agence nationale de la sécurité des systèmes d'information) pilote le dispositif, publie les règles et qualifie les prestataires de confiance.
| Sigle | Signification | En une phrase |
|---|---|---|
| OIV | Opérateur d'importance vitale | L'organisation désignée par l'État comme essentielle |
| SAIV | Secteur d'activités d'importance vitale | L'un des grands secteurs dont relèvent les OIV |
| LPM | Loi de programmation militaire | Le texte qui a créé les obligations de cybersécurité des OIV |
| SIIV | Système d'information d'importance vitale | Le système informatique critique que l'OIV doit protéger |
| PASSI | Prestataire d'audit de la sécurité des systèmes d'information | Le prestataire qualifié qui audite |
| PDIS | Prestataire de détection des incidents de sécurité | Le prestataire qualifié qui détecte les attaques |
| PRIS | Prestataire de réponse aux incidents de sécurité | Le prestataire qualifié qui intervient après un incident |
À retenir : OIV et SIIV désignent qui et quoi protéger, la LPM dit pourquoi et comment, PASSI, PDIS et PRIS sont les prestataires qualifiés qui aident à le faire.
OIV : l'opérateur d'importance vitale
Un opérateur d'importance vitale est un opérateur public ou privé qui exploite des installations ou des ouvrages dont l'indisponibilité ou la destruction risquerait de diminuer fortement le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation. Il est désigné par l'État, et la liste des opérateurs n'est pas rendue publique. Selon l'ANSSI et les sources spécialisées, il existe de l'ordre de 250 OIV.
Les OIV relèvent de 12 secteurs d'activités d'importance vitale (SAIV) :
- activités civiles de l'État, activités judiciaires, activités militaires de l'État ;
- alimentation ;
- communications électroniques, audiovisuel et information ;
- énergie ;
- espace et recherche ;
- finances ;
- gestion de l'eau ;
- industrie ;
- santé ;
- transports.
Si votre organisation n'a pas été informée de sa désignation, elle n'est pas OIV. Elle peut en revanche être soumise à d'autres cadres, comme la directive NIS 2 (voir plus bas).
LPM : la loi de programmation militaire
Une loi de programmation militaire (LPM) fixe, pour plusieurs années, les orientations et les moyens de la défense. Le volet cybersécurité des OIV est né avec la LPM 2014-2019 (loi du 18 décembre 2013), qui a imposé pour la première fois des obligations contraignantes en matière de sécurité informatique. Les LPM suivantes (2019-2025, puis 2024-2030) ont conservé et renforcé ce dispositif.
Les obligations portent notamment sur :
- Appliquer des règles de sécurité fixées par arrêtés sectoriels, sur les SIIV ;
- Déclarer les SIIV à l'ANSSI, après les avoir identifiés et cartographiés ;
- Notifier sans délai les incidents affectant un SIIV ;
- Se soumettre à des audits et contrôles, par l'ANSSI ou par des prestataires qualifiés ;
- Mettre en place des systèmes de détection exploités par des prestataires qualifiés (PDIS).
Les textes officiels et la foire aux questions sont publiés sur la page de l'ANSSI consacrée au dispositif SAIV et dans sa FAQ sur les systèmes d'information d'importance vitale.
SIIV : le système d'information d'importance vitale
Un SIIV est un système d'information dont l'atteinte à la sécurité ou au fonctionnement risquerait de diminuer de manière importante le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation. Concrètement, c'est le sous-ensemble critique du système d'information d'un OIV : un système de pilotage industriel, un système de supervision d'un réseau, un système financier essentiel, etc.
Le SIIV n'est pas nécessairement tout le système d'information de l'opérateur. C'est à l'OIV d'identifier quels systèmes y entrent, de les cartographier (composants, flux, interconnexions) et de les déclarer, en lien avec l'ANSSI. Cette étape est structurante : impossible de protéger ce qu'on n'a pas inventorié.
À retenir : le périmètre SIIV se définit par l'impact d'une compromission sur l'activité vitale, pas par la taille du système.
PASSI : l'audit par un prestataire qualifié
Un PASSI est un prestataire d'audit de la sécurité des systèmes d'information dont la compétence et les méthodes ont été évaluées puis qualifiées par l'ANSSI, selon un référentiel d'exigences. Les audits couvrent en général :
- l'audit d'architecture ;
- l'audit de configuration ;
- l'audit de code source ;
- le test d'intrusion ;
- l'audit organisationnel et physique.
Pour les audits de SIIV, une qualification spécifique de type PASSI LPM existe. Le référentiel évolue : l'ANSSI a notamment publié une mise à jour des référentiels PASSI et PRIS. Les référentiels et la liste des prestataires qualifiés se consultent sur la page référentiels de qualification de l'ANSSI.
Un audit de configuration s'appuie souvent sur des référentiels de durcissement : voir notre article sur les CIS Benchmarks.
PDIS : la détection des incidents
Un PDIS est un prestataire de détection des incidents de sécurité qualifié par l'ANSSI. Il configure, exploite et maintient des dispositifs de détection (sondes réseau, corrélation d'événements, supervision) et analyse les alertes. Pour les OIV, la LPM impose que les systèmes de détection soient exploités par des prestataires qualifiés ou que l'opérateur respecte des exigences équivalentes.
La détection repose sur un flux d'événements, sur la connaissance des vulnérabilités et sur une bonne priorisation : la base de vulnérabilités CVE et la lecture d'un score CVSS sont des compléments utiles pour comprendre ce que l'on cherche à détecter.
PRIS : ce qui se passe après l'incident
Le PRIS, souvent cité avec les deux autres, est le prestataire qualifié de réponse aux incidents de sécurité. Il intervient pour qualifier l'attaque, contenir la compromission, éradiquer la menace et aider au retour à la normale. Pour les OIV, le recours à un prestataire qualifié fait partie du dispositif.
Et NIS 2 dans tout ça ?
La directive européenne NIS 2 (directive (UE) 2022/2555) élargit fortement le nombre d'organisations soumises à des exigences de cybersécurité, bien au-delà des OIV. Le dispositif OIV/LPM reste spécifique aux opérateurs désignés et à leurs SIIV. Les deux logiques coexistent : l'ANSSI les présente sur la même rubrique de son site. Pour l'état d'avancement de la transposition en droit français et les obligations applicables à votre organisation, référez-vous à la page officielle de l'ANSSI plutôt qu'à des synthèses tierces, qui vieillissent vite.
Que faire concrètement ?
- Vérifier son statut : OIV désigné, entité soumise à NIS 2, ou aucun des deux.
- Cartographier les systèmes critiques, quel que soit le statut : c'est le socle de toute démarche de sécurité.
- Choisir des prestataires qualifiés quand la réglementation l'exige, et consulter la liste à jour publiée par l'ANSSI.
- Documenter les décisions, les audits et les plans de correction, pour être prêt à un contrôle.
- Ne pas confondre conformité et sécurité : respecter une règle ne garantit pas l'absence de faille, il faut aussi corriger, surveiller et s'entraîner.
En résumé
Retenez la chaîne : l'OIV est désigné dans un SAIV, la LPM lui impose de protéger ses SIIV, et il s'appuie pour cela sur des prestataires qualifiés par l'ANSSI : PASSI pour l'audit, PDIS pour la détection, PRIS pour la réponse aux incidents. Pour toute décision de conformité, la source de vérité reste l'ANSSI et les textes en vigueur.