1.3 Qui doit avoir un PCA ? Diagnostic par profil

Les OIV sont identifiés nominativement par décret (liste classifiée secret défense). Le statut couvre les organisations dont l'arrêt de l'activité aurait des conséquences graves pour la nation : approvisionnement énergétique, fonctionnement des télécoms, services bancaires, sécurité publique, défense, santé d'urgence.

Obligations spécifiques OIV (au-delà de NIS2/DORA) :

• Notification à l'ANSSI de tout incident significatif sans délai (et non en 24 h comme NIS2).
• Application stricte des règles techniques de l'arrêté sectoriel.
• Plan de Continuité d'Activité formalisé, audité, testé.
• Audit de sécurité régulier, réalisé par un prestataire qualifié par l'ANSSI (qualification PASSI) ou par un service interne reconnu compétent.
• Habilitation de certains personnels (Secret Défense).
• Garanties sur les fournisseurs et sous-traitants critiques.

Le statut s'accompagne aussi d'un appui opérationnel : interlocuteur dédié à l'ANSSI et au CERT-FR en cas d'incident, accès à l'expertise nationale, et participation à des échanges sectoriels entre opérateurs.

Le secteur financier est, depuis le 17 janvier 2025, soumis au règlement DORA, d'application directe dans toute l'Union. Son article 2 énumère les catégories visées — c'est le texte, et non la taille de l'entité, qui détermine l'assujettissement :

• Établissements de crédit, de paiement et de monnaie électronique.
• Entreprises d'assurance et de réassurance, intermédiaires d'assurance.
• Sociétés de gestion de portefeuille et gestionnaires de fonds d'investissement alternatifs.
• Entreprises d'investissement, plateformes de négociation, contreparties centrales et dépositaires centraux.
• Prestataires de services sur crypto-actifs agréés.
• Institutions de retraite professionnelle, agences de notation, prestataires de services de communication de données.
• Prestataires tiers de services TIC — ceux désignés « critiques » relèvent d'une supervision directe des autorités européennes de surveillance.

Le règlement prévoit un principe de proportionnalité : une petite entreprise d'investissement ne déploie pas le même dispositif qu'une banque systémique, et certaines entités bénéficient d'un cadre simplifié de gestion des risques (article 16).

Particularités DORA pour les financiers :

• Supervision par l'ACPR (Autorité de Contrôle Prudentiel et de Résolution) et l'AMF (Autorité des Marchés Financiers).
• Notification d'un incident majeur en deux temps : notification initiale dans un délai très court après classification de l'incident, puis rapport intermédiaire et rapport final — les délais précis sont fixés par les normes techniques adoptées en application du règlement.
• Tests TLPT (Threat-Led Penetration Testing) au moins tous les 3 ans pour les entités les plus systémiques, sur le modèle du cadre TIBER-EU des banques centrales.
• Cadre contractuel uniforme avec les prestataires TIC, droits d'audit renforcés.
• Cartographie obligatoire des prestataires et concentrations (« notion de criticité »).

En France, la supervision est exercée par l'ACPR (Autorité de contrôle prudentiel et de résolution) et l'AMF selon la nature de l'entité ; la Banque de France et la BCE interviennent au titre de leurs missions prudentielles. Les textes d'application (normes techniques de réglementation) sont publiés par les autorités européennes de surveillance.

Le secteur de la santé est l'un des plus exposés aux cyberattaques en France et figure désormais comme entité essentielle (EE) NIS2 pour tous les CHU, CH, ESPIC et structures de santé de plus de 50 salariés.

Les chiffres publiés par l'Observatoire des signalements d'incidents de sécurité des systèmes d'information pour les secteurs santé et médico-social, animé par le CERT Santé de l'Agence du numérique en santé, donnent la mesure du phénomène :

• 749 incidents déclarés en 2024, soit + 29 % par rapport à 2023 — une hausse qui traduit d'abord une meilleure appropriation du signalement, notamment par le secteur médico-social.
• Une gravité moyenne en baisse sur la même période : davantage d'incidents déclarés, mais moins d'arrêts majeurs.
• Le rançongiciel reste la menace la plus destructrice, souvent accompagnée d'une exfiltration de données de santé.

Plusieurs établissements français ont connu des arrêts prolongés de leurs systèmes d'information à la suite d'attaques par rançongiciel, avec retour au fonctionnement sur papier pendant plusieurs semaines : déprogrammation d'interventions, transferts de patients vers d'autres établissements, ressaisie massive des données à la reprise. Ces épisodes ont conduit à des programmes nationaux d'accompagnement (audits, exercices de crise, financement d'équipements) pilotés par l'ANS avec l'ANSSI.

L'industrie française découvre brutalement les obligations PCA avec NIS2. Les secteurs concernés au-delà du seuil de 50 salariés :

• Énergie : électricité, gaz, pétrole, chaleur — déjà très régulés (LPM).
• Eau potable et eau usée : exploitants, syndicats, régies.
• Gestion des déchets : collecte, traitement, valorisation.
• Fabrication et distribution de produits chimiques.
• Industrie alimentaire.
• Industrie manufacturière critique : équipement médical, automobile, ferroviaire, aéronautique, espace.
• Services postaux et de courrier.
• Fournisseurs numériques : cloud, datacenters, marketplaces, moteurs de recherche, réseaux sociaux.

Beaucoup d'entreprises industrielles vont découvrir qu'elles entrent dans le champ pour des raisons qui n'ont rien à voir avec leur taille perçue : une usine agroalimentaire de 200 salariés, une régie d'eau d'agglomération, un éditeur de logiciel en mode hébergé ou un exploitant de centre de traitement de déchets relèvent tous d'un secteur listé par la directive dès lors qu'ils dépassent le seuil de la moyenne entreprise.

Les travaux à engager sont largement indépendants de la date d'entrée en vigueur, ce qui permet de commencer sans attendre la loi :

• Diagnostic de maturité : inventaire des actifs, cartographie des dépendances, état des sauvegardes.
• Trajectoire pluriannuelle plutôt qu'un projet ponctuel — la mise à niveau se compte en trimestres, pas en semaines.
• Portage clair : une personne identifiée pour la sécurité des systèmes d'information, en interne ou par prestation, avec un rattachement suffisamment élevé.
• PCA documenté et testé, ce qui est l'objet des modules suivants.

NIS2 inclut explicitement les administrations publiques de grande taille : ministères, agences nationales, grandes collectivités territoriales (régions, départements, métropoles de plus de 50 salariés).

Le secteur public concentre une exposition forte et des moyens contraints. Le Panorama de la cybermenace 2024 du CERT-FR indique que 17 % des compromissions par rançongiciel portées à la connaissance de l'ANSSI cette année-là visaient des collectivités territoriales — deuxième catégorie la plus touchée après les TPE, PME et ETI (37 %), devant l'enseignement supérieur et les entreprises stratégiques (12 % chacun).

Plusieurs communes et intercommunalités françaises ont subi des attaques ayant paralysé l'état civil, la facturation des services périscolaires ou la paie pendant plusieurs semaines. L'enjeu y est particulier : les services rendus ne peuvent pas être suspendus, la reconstitution des données d'état civil est juridiquement lourde, et les équipes informatiques sont souvent réduites à une ou deux personnes.

Des dispositifs publics d'accompagnement existent — parcours de sécurisation proposés par l'ANSSI et les centres régionaux de réponse à incident (CSIRT régionaux), accompagnement par les préfectures. Ils sont recensés sur cyber.gouv.fr et cybermalveillance.gouv.fr.

Pour savoir rapidement si vous êtes concerné par une obligation formelle de PCA, posez-vous ces 5 questions :

1. Votre entité a-t-elle été identifiée OIV par décret pris en application de la LPM ? (Si oui, vous le savez — le statut est communiqué directement par le SGDSN à votre direction générale.)
2. Êtes-vous un acteur du secteur financier au sens du règlement DORA (banque, assurance, gestion d'actifs, paiements, cryptoactifs, plateforme de marché) ? Si oui, vous êtes obligé DORA depuis le 17/01/2025.
3. Votre entité a-t-elle plus de 50 salariés ET 10 M€ de CA dans l'un des 18 secteurs NIS2 (énergie, transport, santé, eau, déchets, alimentation, manufacturier critique, infrastructure numérique, administration publique, espace, postal, chimie, recherche, fournisseur numérique) ? Si oui, vous êtes EE ou EI NIS2.
4. Êtes-vous prestataire critique d'un OIV, d'une banque, d'un hôpital ou d'un grand groupe ? Si oui, vous serez tenu contractuellement à des engagements de continuité, même si vous n'êtes pas directement régulé.
5. Traitez-vous des données personnelles sensibles à grande échelle (santé, financier, biométrique) ? Si oui, le RGPD article 32 exige des mesures de disponibilité — un PCA documenté est la meilleure défense.

Une réponse positive aux questions 1 ou 2 signifie une obligation en vigueur. Une réponse positive à la question 3 signifie une obligation annoncée, dont la date d'entrée en vigueur dépend encore de la loi de transposition. Les questions 4 et 5 renvoient à des exigences indirectes, souvent tout aussi contraignantes en pratique — un client peut retirer un marché plus vite qu'un régulateur ne sanctionne.