Décret sur la sécurité des réseaux et systèmes d’information des opérateurs de services essentiels

Le décret n°2018-384 du 23 mai 2018 relatif à la sécurité des réseaux et systèmes d’information précise les obligations applicables aux opérateurs de services essentiels (OSE) et aux fournisseurs de service numérique. Pris à la suite de la loi n°2018-133 du 26 février 2018, ce texte s’inscrit dans le cadre de l’adaptation du droit français aux exigences européennes en matière de cybersécurité.

Le décret fixe la liste des services essentiels et les modalités de désignation des opérateurs concernés. Dans le secteur de la santé, sont notamment visés les prestataires de soins contribuant aux activités de prévention, de diagnostic ou de soins, ainsi que les services d’aide médicale urgente. La réception et la régulation des appels, les services mobiles d’urgence et de réanimation, ainsi que la distribution pharmaceutique réalisée par les grossistes-répartiteurs peuvent ainsi relever du régime des services essentiels.

Un opérateur peut être désigné comme opérateur de services essentiels lorsqu’il fournit au moins un service figurant dans la liste réglementaire, que des réseaux et systèmes d’information sont nécessaires à la fourniture de ce service et qu’un incident affectant ces systèmes est susceptible d’avoir des conséquences graves sur la continuité du service, l’économie, la société ou la sécurité publique.

Les critères d’appréciation tiennent notamment compte du nombre d’utilisateurs dépendant du service, de la dépendance d’autres secteurs d’activité, de la gravité et de la durée potentielles de l’incident, de la part de marché de l’opérateur, de la portée géographique de l’incident, de l’existence de moyens alternatifs et, le cas échéant, de facteurs propres au secteur concerné.

La désignation des opérateurs de services essentiels est réalisée par arrêté du Premier ministre, après notification préalable à l’opérateur concerné. Celui-ci dispose d’un délai d’un mois pour présenter ses observations avant la notification de l’arrêté de désignation.

Les opérateurs désignés doivent établir et tenir à jour la liste de leurs réseaux et systèmes d’information, y compris ceux dont l’exploitation est confiée à un tiers, lorsqu’ils sont nécessaires à la fourniture des services essentiels. Cette liste doit être communiquée à l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Un arrêté précise les règles de sécurité à respecter.

Les incidents de sécurité ayant ou susceptibles d’avoir un impact significatif sur la continuité des services essentiels doivent être déclarés à l’ANSSI. Cette obligation s’applique sans préjudice des autres régimes de déclaration d’incidents auxquels les opérateurs peuvent être soumis. Le défaut de déclaration peut entraîner une amende de 75 000 euros.

Les opérateurs de services essentiels peuvent également faire l’objet de contrôles de cybersécurité afin de vérifier le respect de leurs obligations et le niveau de sécurité de leurs réseaux et systèmes d’information. En cas de non-respect des règles de sécurité après mise en demeure, les dirigeants encourent une amende de 100 000 euros. Le fait de faire obstacle à un contrôle est puni d’une amende de 125 000 euros.