La Loi de Programmation Militaire d’acronyme« LPM » est une loi française votée tous les 5 ans permettant de planifier un plan de stratégie de défense. Elle fixe les orientations et les moyens alloués à la politique de défense.
La LPM s’applique à des Opérateurs d’Importance Vitale (OIV). Il s’agit d’entités privées et publiques qui concourent à la production et à la distribution de biens ou de services indispensables à l’exercice de l’autorité de l’État, au fonctionnement de l’économie, au maintien du potentiel de défense ou à la sécurité de la Nation. Les secteurs d’activités impactés sont par exemple les banques, le domaine de l’énergie et les transports.
La LPM met également l'accent sur la cyberdéfense. Avec la montée en puissance des attaques cybernétiques, la protection des infrastructures critiques et des réseaux informatiques devient une priorité. Les Opérateurs ont donc des obligations légales à respecter sur le plan cyber, parmi lesquelles, notamment, l’obligation de nommer un référent LPM, d’identifier les points d’importance vitale, d’élaborer un plan de sécurité et de le mettre en œuvre.
Voici à la suite un exemple de règle évoqué par la LPM :
- Certains indicateurs SSI doivent également être générés tel que le suivi des comptes, patch management, etc
- Les journaux d’événements primordiaux doivent être activés, centralisés, archivés, puis corrélés et analysés
- Des sondes réseaux doivent être mise en place entre les SIIV et les réseaux tiers à ceux de l’OIV
- Des bonnes pratiques de sécurité doivent être appliqué au niveau de l’authentification et l’habilitation des utilisateurs des SIIV
Le non-respect de cette dernière a pour conséquence d’exposer les systèmes vitaux à une menace informatique de plus en plus marquante. Cela peut avoir un impactsur l’activité́ économique de la société mais engage également sa responsabilité, s’agissant de systèmes dont un dysfonctionnement peut entrainer des conséquences importantes sur la survie de la Nation ou la vie des populations.
Le dispositif LPM prévoit que l’ANSSI, ou des prestataires qualifiés par l’ANSSI, réalisent des contrôles de sécurité ayant notamment pour objectif de vérifier l’application des règles. Si le non-respect d’une règle est constaté lors d’un contrôle, l’opérateur pourra être mis en demeure d’appliquer la règle concernée.
En dernier recours, des sanctions financières, tant pour le dirigeant que pour l’entreprise, sont prévues par la loi.
