L’Europe et les infrastructures critiques

Terrorisme, attaques informatiques, compromission d’informations stratégiques, pandémies, catastrophes naturelles. Pour harmoniser la sécurisation des infrastructures critiques, Risk&Co a organisé à Bruxelles un colloque sur « les structures d’importance vitale »…

Cette chronique © a été publiée dans la revue Défense. [1] Nous la reproduisons ici avec l'autorisation de son auteur, Joël-François Dumont (*). Paris, le 26 février 2009.

Béatrice Bacconnet, directrice générale de Risk&Co

Le constat établi après les attentats de New-York, Madrid et Londres a fait apparaître une urgente nécessité : le besoin de rénover et d’harmoniser au niveau européen les processus de protection de nos infrastructures critiques. Ceci sous-tend une révision prochaine des règles en matière de protection du secret et des gens habilités « à en connaître ». Nous vivons dans un environnement instable. Les menaces sont croissantes, globales et multiformes : terrorisme, attaques informatiques, compromission d’informations stratégiques, sans parler des risques de pandémies ou de catastrophes naturelles. La stratégie de sécurisation des infrastructures critiques se voulant "globale et intégrée", un grand colloque a été organisé par Risk&Co à Bruxelles sur « les structures d’importance vitale », réunissant les responsables de la sécurité des plus grands groupes européens chargés d’élaborer des schémas directeurs de sûreté.

Alain Juillet, HRIE, lors de son intervention à Bruxelles

Devant un auditoire de spécialistes, Alain Juillet, Haut responsable français chargé de l’intelligence économique, a rappelé que « la France avait joué un rôle de précurseur » en définissant « Douze secteurs d’activité d’importance vitale en 2006, complétant ainsi le dispositif des douze secteurs stratégiques retenus en 2004 pour les domaines de la défense et de la sécurité dans le respect de l’article 50 du traité de Rome. Dans une dynamique de sécurité économique, les ' SAIV ', essentiels pour la pérennité de l’activité industrielle de notre pays, ont fait l’objet de 21 directives préparées par le SGDN. [2] Ces dernières qui fixent les objectifs, « ont la volonté de s’inscrire pleinement dans le programme européen de protection des infrastructures critiques. Dans le cadre d’un partenariat public-privé, chaque entreprise concernée bénéficie d’un plan de sécurité d’opérateur et doit mettre en place un plan de protection particulier. » [3]

Alain Juillet avec Sophie Mouraux à Bruxelles

Pour Sophie Mouraux, experte en la matière, [4] aujourd’hui chargée de mission à Astrium, « l’ouverture de ce chantier sur les SAIV vise à établir une politique de sécurité commune aux services de l’État et aux entreprises stratégiques, une fois la doctrine établie par le SGDN. Dans cette logique, la politique des SAIV est l’un des moyens mis en exergue dans le Livre blanc sur la défense [5] et la sécurité nationale au titre de la fonction stratégique de protection. Chaque entreprise concernée bénéficie d’un plan de sécurité d’opérateur et doit mettre en place un plan de protection particulier. »

Jérôme Ferrier, directeur de la sécurité générale de Total

Un arrêté du Premier ministre, en date du 2 juin 2006, fixe la liste de ces douze secteurs d’activité d’importance vitale : activités civiles de l’État, santé, alimentation, énergie, transports, défense, armement, espace, justice, communication, électronique, industrie. Les grands acteurs de ces secteurs névralgiques vont se voir notifier prochainement par lettre « le statut d’opérateur d’importance vitale (OIV) », et devoir, à ce titre, en liaison avec les services de l’État, principalement la DCRI, la DPSD et la gendarmerie, être partie prenante d’une politique générale de protection, en organisant sur leurs propres sites la vigilance, la prévention et la protection pour échapper notamment à tout acte terroriste.

Le général Guy Cachat, Sous-directeur de la défense et de l'ordre public (Gendarmerie)

« Une liste des Points d’importance vitale (PIV) a été dressée. Chaque secteur étant rattaché à un ministre coordonnateur chargé du pilotage des travaux et des consultations interministérielles qui dispose pour cela de la Directive Nationale de Sécurité du secteur (DNS) dans lequel il exerce. Ce document décrit les menaces, identifie les vulnérabilités génériques, fixe les exigences de protection et détermine les mesures graduées à mettre en œuvre en fonction de l’intensité de la menace, en cohérence avec le plan gouvernemental Vigipirate. » [6]

Le Contre-amiral (2S) Georges Girard, Rédacteur en chef de la revue Défense nationale

Les SAIV constituent « un enjeu éminemment collectif » selon Sophie Mouraux, « car il revient à chaque entreprise désignée Opérateur d’Importance Vitale (OIV) d’identifier, dans ses activités, les composants névralgiques et de les proposer comme points d’importance vitale devant faire l’objet d’une protection particulière. » [4] 21 directives ont été approuvées par le Premier ministre, début 2009. Environ 150 opérateurs d’importance vitale ont été désignés dans sept premiers secteurs d’activités.

René-Pierre Koch, de l'Unité "Lutte contre le terrorisme" de la CE avec Alain Juillet [7]

« L’opérateur conçoit un système de sécurité à deux étages : un plan de sécurité pour l’ensemble de ses activités relevant du ou des secteurs traités (PSO), et des plans particuliers de protection pour chacun de ses points d’importance vitale (PPP). » [4]

Le Général de brigade (2S) Umberto Saccone, directeur de la sécurité du groupe E.N.I

Une ombre au tableau pour Alain Juillet : « les sociétés sélectionnées sont essentiellement de grandes entreprises, ce qui pose le problème de la sécurité des PME.

Par ailleurs, seules les entreprises françaises sont obligées d’investir dans la mise en œuvre de ces plans, ce qui crée une distorsion de concurrence avec les sociétés étrangères qui en sont dispensées. Enfin ce dispositif implique d’être bien informé pour agir efficacement. »

Véritable discipline du futur reposant sur le principe de réalité, l’intelligence économique va donc « contribuer à la mise en place du dispositif en identifiant certains types de risques, les entreprises concernées, et les nœuds d’importance vitale qu’il faut sécuriser en priorité. Elle donne à l’État des moyens de défendre des intérêts légitimes de sécurité publique et de défense nationale notamment pour certains opérateurs privés d’infrastructures vitales dans un contexte marqué par une montée significative des menaces, notamment terroristes. » [3] [8]

Joël-François Dumont

(*) Auditeur à l'Institut des Hautes Études de Défense Nationale (IHEDN) et rédacteur en chef adjoint de la revue Défense.

[1] Numéro 138 daté de Mars-avril 2009 de Défense, revue bimestrielle de l'Union des Associations des Auditeurs de l'Institut des Hautes Études de Défense Nationale (IHEDN).Abonnements: BP 41-00445 Armées.

[2] Le SGDN a produit l'analyse de la menace et la défini la méthode de travail. Les directives ont été préparées par les différents ministères coordonnateurs.

[3] Intervention d’Alain Juillet, Haut responsable français chargé de l’intelligence économique, le 1er février 2009 à Bruxelles lors de la conférence organisée par Risk&Co.

[4] Voir "Du national à l’européen : Une activité d’importance vitale à protéger : l’industrie française de l’armement" in Défense N°137 et entretien à Bruxelles.

[5] Livre blanc du Gouvernement sur la sécurité intérieure face au terrorisme

[6] En matière de protection de la population, le Livre blanc relève la refonte de 2003 du plan gouvernemental Vigipirateet de la famille des plans d’intervention Pirate adaptés à des risques particuliers. Une première actualisation de Vigipirate sera achevée cet automne. (Source SGDN).

[7] Ancien inspecteur du Contrôle de sécurité nucléaire d'Euratom, René-Pierre Koch est "Local Security Officer" pour la zone sécurisée de la Direction générale JLS (Justice;, Liberté, Sécurité) de la Commission Européenne, en charge de la sécurité, de l'informatique et des aspects contractuels et financiers, chargé notamment du projet CIWIN. Ce projet. CIWIN (Critical Infrastructure Waring Information Network) s'inscrit dans le cadre de la politique "CIP" (Critical Infrastructure Protection) de la Commission Européenne. La protection des infrastructures critiques est une des composantes de la lutte contre le terrorisme. L'objectif principal du projet est de permettre l'échange d'informations de type "CIP" par exemple, les transports, l'énergie, entre les états membres, à travers un réseau informatique sécurisé.

[8] les problèmes de coût sont bien sûr à la charge de chaque pays… comme le confirme les conclusions du Conseil européen sur un programme européen de protection des infrastructures critiques en date du 23 mars 2007, 1) le Conseil souligne que c'est aux États membres qu'incombe en dernier ressort la gestion de dispositifs de protection des infrastructures critiques sur leur territoire national. Parallèlement à cela, le Conseil réaffirme qu'une action au niveau de la Communauté européenne (CE) apportera une valeur ajoutée en ce qu'elle appuiera et complétera les activités des États membres, le principe de subsidiarité étant respecté et les ressources budgétaires disponibles telles que définies dans le cadre financier 2007-2013 étant prises en compte comme il se doit. La responsabilité des États membres englobe, compte dûment tenu des compétences actuelles de la Commission, l'analyse des risques et l'évaluation des menaces pesant sur les infrastructures critiques situées sur leur territoire, les contacts avec les propriétaires/exploitants de ces infrastructures, ainsi que les échanges d'informations avec la Commission dans le cadre d'un rapport général.il ressort. 2) Le Conseil se félicite des efforts déployés par la Commission en vue d'élaborer une procédure à l'échelle européenne aux fins du recensement et du classement des infrastructures critiques européennes ainsi que de l'évaluation de la nécessité d'améliorer leur protection. Cette procédure devrait être fondée sur des définitions appropriées et tenir compte à la fois de critères intersectoriels et sectoriels, afin d'axer le recensement et le classement sur les infrastructures dont la destruction ou la dégradation entraîneraient des conséquences graves. Le Conseil estime en particulier que l'établissement d'une telle procédure, dans le respect des compétences des États membres et de la Communauté, pourrait apporter une valeur ajoutée.