NIS2 remplace-t-elle la LPM ?

Non. NIS2 ne remplace pas les règles de cybersécurité issues de la loi de programmation militaire (LPM) de 2013, qui s’appliquent aux opérateurs d’importance vitale (OIV). Les deux régimes coexistent, et de nombreux OIV devraient aussi relever de NIS2 en tant qu’entités essentielles. Le projet de loi « résilience » prévoit toutefois de refondre le dispositif des OIV.

Pour la méthode générale de périmètre, voir NIS2 : qui est concerné ?.

La LPM et les OIV en bref

La loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019, dans son article 22, a créé des obligations de cybersécurité pour les opérateurs d’importance vitale. Ces opérateurs sont désignés par l’État, de façon confidentielle, dans le cadre du dispositif de sécurité des activités d’importance vitale.

Leurs obligations portent sur leurs systèmes d’information d’importance vitale (SIIV) : règles de sécurité fixées par arrêtés sectoriels, déclaration des SIIV à l’ANSSI, notification des incidents, contrôles. Elles sont inscrites dans le code de la défense.

Pourquoi NIS2 ne remplace pas la LPM

Les deux textes n’ont ni le même objet ni la même source :

	LPM (OIV)	NIS2
Origine	Loi française, logique de défense et de sécurité nationale	Directive européenne, logique de marché intérieur et de résilience
Qui	Quelques opérateurs désignés, souvent de façon confidentielle	Toutes les entités de 18 secteurs au-dessus des seuils, plus des entités désignées
Quoi	Les systèmes les plus critiques (SIIV)	L’ensemble des réseaux et systèmes d’information de l’entité
Niveau d’exigence	Très élevé, sur un périmètre restreint	Socle de 10 mesures, sur un périmètre large

NIS2 élargit donc la base, sans retirer les exigences renforcées qui pèsent sur les systèmes les plus sensibles.

Ce qui change pour un OIV

Les OIV sont le plus souvent de grandes entreprises de secteurs qui figurent à l’annexe I de NIS2 (énergie, transports, santé, eau, numérique…). L’article 3 de la directive classe comme essentielles les grandes entités de ces secteurs, ainsi que les entités critiques désignées au titre de la directive (UE) 2022/2557, dite REC (article 3, paragraphe 1, point f). Beaucoup d’OIV devraient donc relever de NIS2 en tant qu’entités essentielles. La qualification de chaque organisation dépendra de la loi de transposition et relève d’une analyse juridique propre.

Les mesures de l’article 21 de NIS2 visent l’ensemble des réseaux et systèmes d’information de l’entité, et pas seulement ses systèmes les plus critiques. Pour un OIV concerné, c’est souvent sur ce « reste » du système d’information que l’effort est le plus important.

Ce que prévoit le projet de loi résilience

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité transpose trois textes européens en un seul :

• la directive REC sur la résilience des entités critiques, qui conduit à refondre le dispositif des OIV ;
• la directive NIS2 ;
• la directive accompagnant le règlement DORA pour le secteur financier.

Adopté par le Sénat le 12 mars 2025, puis par la commission spéciale de l’Assemblée nationale le 10 septembre 2025, il n’a pas encore été examiné en séance publique au 15 août 2026. L’articulation définitive entre les règles cyber des OIV et celles de NIS2 dépendra du texte adopté. Cet article reflète l’état du dossier législatif au 15 août 2026.

En attendant : un seul programme de sécurité

Sans attendre le texte définitif, de nombreuses organisations choisissent de bâtir un programme de sécurité unique plutôt que deux dispositifs parallèles. Il s’articule généralement autour de trois sujets :

1. un socle de mesures inspiré de l’article 21 de NIS2, appliqué à tout le système d’information ;
2. les mesures renforcées prévues par les arrêtés sectoriels pour les SIIV ;
3. un processus de notification des incidents coordonné, l’ANSSI étant aujourd’hui l’interlocuteur des OIV.

La répartition exacte des obligations entre les deux régimes dépendra de la loi adoptée : l’ANSSI et le conseil juridique de l’organisation sont les bons interlocuteurs pour l’appliquer à un cas précis.

Pour comparer avec l’ancien régime NIS1 et les opérateurs de services essentiels, voir Quelle différence entre NIS1 et NIS2 ?.

Faire le point avec un expert

Une détection continue sur l’ensemble du système d’information, et pas seulement sur les SIIV, est l’un des chantiers NIS2 les plus concrets pour un OIV. Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Un OIV doit-il s'enregistrer au titre de NIS2 ?

Les règles d'enregistrement seront fixées par la loi de transposition. L'ANSSI connaît déjà les OIV, mais NIS2 prévoit sa propre procédure : les consignes que l'ANSSI publiera avec le texte feront référence.

Un sous-traitant d'OIV est-il concerné ?

Pas automatiquement. Il peut l'être en propre s'il remplit les critères de NIS2. Il peut aussi être sollicité par l'OIV au titre de la sécurité de la chaîne d'approvisionnement, que l'article 21 de NIS2 mentionne parmi les mesures de gestion des risques.

Les règles des OIV vont-elles s'alléger avec NIS2 ?

Rien dans les textes publiés ne l'indique à ce stade. NIS2 ajoute un socle large et ne prévoit pas d'abaisser les exigences renforcées sur les systèmes les plus sensibles. Le projet de loi réorganise le dispositif ; le texte définitif dira comment.

Par où commencer quand les moyens hors SIIV sont limités ?

Cartographiez les systèmes hors périmètre SIIV, identifiez ceux qui pourraient servir de porte d'entrée vers les SIIV, et étendez-leur d'abord la surveillance et le contrôle des accès.