C. ARTICLES L. 1332-3 À L. 1332-5 MODIFIÉS - OBLIGATIONS DES OIV DESTINÉES À ACCROÎTRE LEUR RÉSILIENCE
1. Établissement d'un « plan de résilience opérateur »
Aux termes de l'article L. 1332-3 du code de la défense tel que modifié par le présent article premier, les OIV seront tenus d'évaluer les risques de toute nature, y compris ceux liés au terrorisme (alinéa 20). Cette analyse devra être réalisée dans un délai de 9 mois après leur désignation et actualisée au moins tous les 4 ans (alinéa 21).
Sur la base de cette analyse, les OIV devront élaborer des mesures de résilience adaptées pour assurer la continuité de leurs missions essentielles et protéger leurs infrastructures critiques (alinéa 22). Ces mesures devront être détaillées dans un « plan de résilience opérateur » (PRO), lequel devra être établi dans un délai de 10 mois suivant la désignation de l'opérateur (alinéa 23). Ce plan, qui fusionnera le plan de sécurité opérateur et l'essentiel du plan de continuité d'activité (cf. supra), sera soumis à l'approbation de l'autorité administrative compétente. La nature des mesures qui devront y être retranscrites sera précisée par décret en Conseil d'État (alinéa 29).
L'alinéa 24 du présent article prévoit que lorsque des documents existants répondent déjà partiellement ou totalement aux exigences, l'autorité administrative pourra les reconnaître comme équivalents au plan de résilience. Comme l'indique l'étude d'impact, cette disposition permettra notamment à l'OIV « de se servir d'un plan de continuité d'activité existant pour l'intégrer à son PRO dans la partie devant porter sur les obligations de résilience, sur validation du principe par l'autorité administrative qui aurait vérifié que le plan en question répond aux exigences du dispositif SAIV ». Il convient de préciser que les PRO faisant l'objet de nouveaux plans-types établis à la suite de la mise à jour de l'instruction générale interministérielle relative la sécurité des activités d'importance vitale (IGI 6600) et des directives nationales de sécurité et même si ces derniers reprendront en grande partie les éléments contenus dans les plans-type des PSO actuels, seuls certains éléments de fond, toujours à jour, des parties des PSO existants pourront être repris dans les futurs PRO. Les PSO en tant que tels, nécessairement lacunaires au regard des nouveaux plans-type, ne pourront donc pas être assimilés au PRO.
L'alinéa 28 prévoit que les opérateurs désignés au titre du danger grave pour la population pourront connaître des aménagements dans les mesures applicables, afin que soient privilégiés les impératifs de sécurité sur la continuité d'activité.
En cas de manquement d'un opérateur à ses obligations, l'autorité administrative pourra lui adresser une mise en demeure pour élaborer, modifier ou mettre en oeuvre le plan (alinéa 25). Cette mise en demeure sera assortie d'un délai minimum d'un mois et pourra s'accompagner d'une astreinte financière pouvant atteindre 5 000 euros par jour de retard (alinéa 26). L'astreinte pourra également être prononcée à l'expiration du délai imparti par la mise en demeure en cas de non-respect de celle-ci par l'OIV (alinéa 27).
Contrairement aux sanctions, le prononcé d'une astreinte pourra concerner l'État, ses établissements publics administratifs, les collectivités territoriales ainsi que leurs groupements et leurs établissements publics administratifs.
2. Réalisation d'une analyse des dépendances
L'alinéa 30 modifie l'article L. 1332-4 du code de la défense et impose aux OIV d'analyser leurs dépendances à l'égard de l'ensemble des acteurs essentiels à leurs activités vitales, qu'ils soient nationaux, européens ou internationaux, et ce, à chaque étape de leur chaîne de production ou d'activité. Cette évaluation inclut une analyse approfondie des vulnérabilités dans les chaînes d'approvisionnement et doit mener à des mesures concrètes (alinéa 31).
3. Établissement d'un « plan particulier de résilience » pour chaque point d'importance vitale
L'article L. 1332-5 du code de la défense tel que modifié par les alinéas 32 à 37 du présent article 1er fixe l'obligation pour les OIV d'établir un « plan particulier de résilience » (PPR) pour chaque PIV, qui se substitue au « plan particulier de protection » (cf. supra). Comme le précise l'étude d'impact, celui-ci « a également pour vocation d'intégrer les éléments auparavant indiqués dans le PPE en annexe, ainsi qu'une partie des éléments qui pouvaient apparaitre auparavant dans le plan de continuité d'activité que l'opérateur devait effectuer au titre de l'article L. 2151-4 ». Ce nouveau plan, qui doit détailler les mesures de protection et de résilience prises pour chaque PIV, constitue une obligation supplémentaire par rapport aux prescriptions de la directive REC, cette dernière n'imposant l'établissement d'un plan qu'à l'échelle de l'opérateur.
Comme pour les plans de résilience opérateur, il est prévu qu'un document existant, élaboré dans le cadre d'accords internationaux régulièrement ratifiés ou approuvés, de lois ou de règlements, et décrivant des mesures de protection jugées suffisantes pour un point d'importance vitale, peut être reconnu comme équivalent au PPR (alinéa 34).
En cas de refus de l'opérateur d'élaborer, de modifier ou de mettre en oeuvre un PPR, l'autorité administrative peut le mettre en demeure de satisfaire à ses obligations dans un délai fixé, qui doit être d'au moins un mois (alinéa 35). Cette mise en demeure pourra s'accompagner d'une astreinte financière pouvant atteindre 5 000 euros par jour de retard (alinéa 35). L'astreinte pourra également être prononcée à l'expiration du délai imparti par la mise en demeure en cas de non-respect de celle-ci par l'OIV (alinéa 37). Contrairement aux sanctions, le prononcé d'une astreinte pourra concerner l'État, ses établissements publics administratifs, les collectivités territoriales ainsi que leurs groupements et leurs établissements publics administratifs
Comme dans le dispositif actuel de SAIV, la mise en oeuvre de l'ensemble des obligations rappelées supra restera à la charge des OIV (alinéa 16).