Douze secteurs d'activités d'importance vitale, c'est-à -dire indispensables ou dangereuses pour la population, ont été définis dans un arrêté du 2 juin 2006, modifié par un arrêté du 3 juillet 2008. Cela comprend notamment la santé, l'alimentation, l'espace et recherche, et l'industrie.
Au sein de ces secteurs, les pouvoirs publics ont identifié quelque 200 "opérateurs d'importance vitale", dont 22 dans la santé, devant respecter des "directives nationales de sécurité", explique le secrétariat général de la défense et de la sécurité nationale (SGDSN) sur son site internet.
Face à la multiplication des attaques informatiques visant les entreprises françaises et à de nouvelles formes de menace, la loi de programmation militaire de 2013 pour 2014-19 a imposé aux opérateurs d'importance vitale de renforcer la sécurité de leurs systèmes d'information. L'Agence nationale de la sécurité des systèmes d'information (Anssi) est en charge au sein du SGDSN de la mise en oeuvre de cette disposition.
Après la publication de trois décrets d'application datés du 27 mars 2015, l'arrêté de jeudi fixe les règles de sécurité pour les systèmes d'information propres au secteur des produits de santé.
Il entrera en vigueur le vendredi 1er juillet.
A compter de cette date ou de sa date de désignation en tant qu'opérateur d'importance vitale, tout opérateur doit appliquer les règles de sécurité dans des délais qui figurent dans une annexe non rendue publique mais qui peut être notifiée par l'Anssi "aux personnes ayant besoin d'en connaître".
Par ailleurs, dans un délai de trois mois à compter de l'entrée en vigueur de l'arrêté ou de sa désignation, un opérateur devra adresser par courrier à l'Anssi la liste de ses systèmes d'information d'importance vitale, ainsi que, pour chaque système, le formulaire de déclaration disponible sur le site internet de l'agence.
Les systèmes d'information visés figurent eux aussi dans une annexe non publiée.
L'opérateur doit en outre déclarer à l'Anssi les incidents qui se produisent dans ses systèmes d'information. Encore une fois, les incidents concernés sont répertoriés dans une annexe non rendue publique. La déclaration se fait via un le formulaire disponible sur www.ssi.gouv.fr, "selon le moyen approprié à la sensibilité des informations déclarées".
Tout opérateur communique à l'Anssi les coordonnées de la personne chargée de le représenter auprès de l'agence dans un délai de trois mois à compter de l'entrée en vigueur de l'arrêté ou de sa désignation comme opérateur d'importance vitale.
gb/eh
.png){kind=logo}
Vos réactions