B. ARTICLES L. 1332-1 ET L. 1332-2 MODIFIÉS - DÉFINITIONS
L'article 1er du présent projet de loi introduit 3 définitions principales :
1) les activités d'importance vitale (alinéa 7) définies comme « les activités indispensables au fonctionnement de l'économie ou de la société ainsi qu'à la défense ou à la sécurité de la Nation » ;
2) les infrastructures critiques (alinéa 8) définies comme « tout ou partie d'un bien, d'une installation, d'un équipement, d'un réseau ou d'un système nécessaire à l'exercice d'une activité d'importance vitale ou dont une perturbation pourrait mettre gravement en cause la santé de la population ou l'environnement ». Deux catégories d'infrastructures critiques sont distinguées :
i) les points d'importance vitale (PIV) définis comme « les installations les plus sensibles, notamment celles qui sont difficilement substituables » (alinéa 10) ;
ii) les systèmes d'information d'importance vitale définis comme « les systèmes d'information nécessaires à l'exercice d'une activité d'importance vitale ou à la gestion, l'utilisation ou la protection d'une ou plusieurs infrastructures critiques » (alinéa 11) ;
3) les opérateurs d'importance vitale (OIV), définis aux alinéas 12 à 17 qui modifient l'article L. 1332-2 du code de la défense. Comme l'a indiqué le SGDSN en audition, le critère déterminant pour identifier un OIV restera celui de la non-substituabilité.
L'alinéa 14 précise que l'autorité administrative pourra mentionner, dans l'acte de désignation, l'activité ou la liste des activités d'importance vitale exercées par l'opérateur qui constituent des services essentiels au fonctionnement du marché intérieur, l'opérateur devant à ce titre être regardé comme une entité critique au sens de la directive REC.
Il convient de relever que le champ des OIV retenu dans la transposition est plus large que celui des « entités critiques » au sens de la directive REC. En effet, il inclut les opérateurs « régaliens » relevant de la défense ou de la sécurité nationale, lesquels sont pourtant explicitement exclus du champ de la directive REC.
Les dispositions du titre Ier du présent projet de loi ont en outre vocation à s'appliquer à certaines collectivités territoriales, comme cela est déjà le cas dans le cadre du dispositif existant de SAIV.
Au total, si le nombre d'entités concernées ne peut pas être connu dans le détail, leur liste étant couverte par le secret de la défense nationale, le SGDSN a indiqué en audition que l'entrée en vigueur du présent projet de loi devrait entraîner une augmentation limitée du nombre d'OIV et de PIV, estimée à quelques dizaines.
Le SGDSN a indiqué au rapporteur Hugues Saury que si les modalités de désignation des OIV et l'architecture de planification font l'objet de dispositions réglementaires en cours de rédaction, elles ont globalement vocation à être conservées par rapport au dispositif actuel.
Ainsi, le processus de désignation devrait comporter les phases suivantes :
- dialogue entre le ministère coordonnateur et l'opérateur, identifié selon les éléments (éventuellement des seuils) prévus par la ou les directives nationales de sécurité concernées (DNS) ;
- désignation par le ministre après avis de la commission interministérielle de défense et de sécurité des secteurs d'activités d'importance vitale (CIDS) ou par le préfet de département après avis de la commission zonale de défense et de sécurité des secteurs d'activités d'importance vitale pour les OIV à PIV unique classé ICPE ou INB ;
- arrêté de désignation de l'opérateur d'importance vitale ;
- notification, à l'opérateur de la ou des DNS applicables.