Réponse publiée le 29 juillet 2025

De manière générale, les cadres de certification et de qualification ne constituent pas des obligations. Les opérateurs d'importance vitale (OIV) constituent un cas particulier et sont soumis, conformément aux dispositions de l'article L.1332-6-1 du code de la défense, à certaines obligations. Ces obligations sont précisées par des arrêtés sectoriels pris entre 2016 et 2020, qui prescrivent le recours à des prestations de service qualifiées en matière d'audit de sécurité et de détection d'attaque, et imposent de surcroît - règle n° 7 de chaque arrêté - la mise en œuvre de « sondes d'analyse de fichiers et de protocoles », qui doivent être « positionnées de manière à pouvoir analyser l'ensemble des flux échangés entre les systèmes d'information d'importance vitale et les systèmes d'information tiers à ceux de l'opérateur ». Ce cadre général des obligations sera actualisé par la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui reprend à l'article 16 du projet en cours de discussion l'obligation figurant actuellement à l'article L. 1332-6-1 du code de la défense. L'ambition de ce texte est bien de fixer aux OIV un niveau d'exigence élevé et au moins équivalent à celui du cadre actuel. Cette exigence sera néanmoins objectivée par une analyse préalable, menée par l'ANSSI en concertation avec l'ensemble des parties prenantes, de l'efficacité et de la pertinence des exigences au regard des évolutions techniques intervenues depuis 2013. Il apparaît en particulier qu'une architecture de détection des cyberattaques efficace et moderne doit pouvoir s'alimenter de données de plus en plus diverses, ne se limitant pas aux seuls flux des réseaux. De plus, le choix et le positionnement de ces sources de données est très corrélé à la nature et à l'architecture du système d'information à superviser. Ainsi, afin d'identifier les exigences les plus pertinentes en matière de détection des cyberattaques dans les infrastructures critiques, et de tendre vers une obligation de résultat plutôt qu'une simple obligation de moyens, l'ANSSI a initié une consultation auprès de l'ensemble des parties prenantes concernées : OIV, prestataires de détection et éditeurs de solutions de détection. Ce travail de consultation n'est pas achevé et n'a fondé aucune révision des exigences antérieures à ce stade. Par ailleurs, il ne constitue aucunement un abandon de la stratégie de détection réseau pour les OIV, mais plutôt une adaptation pour tenir compte du caractère évolutif de ce domaine, sans révision à la baisse de l'obligation de résultat.