Les Activités d’Importance Vitale (AIV)

La première législation française consacrée aux « points sensibles » date d’une ordonnance de 1958 très marquée par les besoins de la guerre froide. Ce sont alors surtout les réseaux autoroutiers qui sont concernés tant ils sont considérés comme cruciaux pour les capacités de défense du pays, pour s’y déplacer ou pour les transformer en installations aériennes improvisées. La totalité des pays occidentaux ont mis en œuvre, sous l’influence des Etats- Unis, des politiques similaires bien qu’avec des approches très différentes (Galland 2010).

3.2.3.1 Quelles entreprises ?

En France aujourd’hui, le statut d’AIV impose à certaines entreprises des obligations particulières dès lors qu’elles appartiennent à des secteurs considérés comme vitaux pour la nation31 _:

30 _{Pour une analyse plus poussée de cette problématique, voir Delbecque (E.) – Un débat idéologique, une « fièvre} hexagonale » In Brajeux (P.), Delbecque (E.) & Mathieu (M.) – Sécurité privée, enjeu public, Armand Colin, Paris, 2013, pp 41-63.

31 _{Premier Ministre, Secrétariat général de la défense et de la sécurité nationale, Instruction générale} interministérielle relative à la sécurité des Activités d’Importance Vitale, n°6600/SGDSN/PSE/PSN du 7 janvier 2014.

 Activités civiles de l’Etat  Activités judiciaires

 Activités militaires de l’Etat  Alimentation

 Communications électroniques, audiovisuel et information  Energie  Espace et recherche  Finances  Gestion de l’eau  Industrie  Santé  Transports

Cette liste n’a d’autre but que celui de poser l’ampleur des secteurs concernés. Il n’y a aucun doute sur le fait que l’essentiel de l’activité économique française est concernée par les obligations que nous allons détailler.

3.2.3.2 Quelles obligations ?

Aujourd’hui, les Activités d’Importance Vitale sont définies de la façon suivante32 _{: elles}

«ont trait, de manière difficilement substituable ou remplaçable, à la production et la distribution de biens ou de services indispensables, [ou] peuvent présenter un danger grave pour la population. Ces biens ou services doivent être indispensables:

 à la satisfaction des besoins essentiels pour la vie des populations ;  ou à l'exercice de l'autorité de l'Etat ;

 ou au fonctionnement de l'économie ;  ou au maintien du potentiel de défense ;  ou à la sécurité de la Nation ».

Le Code de la Défense nationale dans son article L 133233 donne deux précisions importantes quant à la façon dont les entreprises doivent les prendre en charge : « Les opérateurs publics ou privés exploitant des établissements ou utilisant des installations et ouvrages, dont l'indisponibilité risquerait de diminuer d'une façon importante le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la nation, sont tenus de coopérer à leurs

frais34 _{dans les conditions définies au présent chapitre, à la protection desdits}

établissements, installations et ouvrages contre toute menace, notamment à caractère terroriste. Ces établissements, installations ou ouvrages sont désignés par l'autorité administrative. » Comme le précise un professionnel du secteur tentant de faire un bilan pour le compte d’EDF, une des entreprises françaises les plus concernées par la problématique, les points importants ici sont « à leurs frais » et « dans les conditions définies au présent chapitre » c’est-à-dire définies par l’Etat lui-même (Sabathé 2010). Notons également que le seul exemple explicite est celui du terrorisme.

En effet, les textes de référence ont beaucoup évolué à partir du début des années 2000 pour prendre en compte les menaces criminelles et terroristes (Galland 2010) et les cybers menaces (Latour 2016). Ils imposent aux organisations dont l’activité est considérée comme vitale pour le maintien de l’activité en France, de faire le nécessaire pour, qu’en toutes circonstances, leur activité ne cesse pas ou soit suffisamment préservée. Cette obligation va d’ailleurs depuis quelques années au-delà des seules questions de sûreté. L’évolution de la

33

https://www.legifrance.gouv.fr/affichCodeArticle.do?cidTexte=LEGITEXT000006071307&idArticle=LEGIART I000006539687&dateTexte=&categorieLien=cid

législation depuis 2013 impose aux Opérateurs d’Importance Vitale (OIV) d’être également en mesure de faire face à une catastrophe naturelle telle que la crue centennale de la Seine par exemple.

Enfin, les entreprises doivent circonscrire le champ de leurs obligations. Et cel a peut être compliqué. Les professionnels du secteur considèrent a minima que la législation mise en place, maintes fois remaniée est, à certains égards, complexe (Sabathé 2010).

3.2.3.3 Quel poids pour les entreprises ?

La première préoccupation des entreprises, en l’occurrence, est celle de l’étendue du transfert que sollicitent les Etats dans le domaine de la sûreté. Dans ce domaine-là comme dans le domaine la responsabilité sociale de l’entreprise, où se trouve la limite ? (Scherer & Palazzo 2011). Nous avons observé que les Etats ne cessent de procéder à des libéralisations partielles du marché de la sécurité depuis la fin des années 1970. De la libéralisation, nous sommes passés à un transfert plus ou moins contraint de compétences qui, pour certaines, semblaient sacrées quelques années plus tôt. La question est d’autant plus prégnante que la totalité de cette évolution s’est effectuée à bas bruit, « en dehors de tout débat public réel » (Pauvert 2016).

Le directeur de la sécurité du groupe EDF relevait en 2010 que l’adaptation permanente de l’Etat à l’évolution des menaces était partiellement transférée aux entreprises par le biais des AIV. Cette adaptation est sans doute nécessaire mais elle plonge les entreprises concernées dans l’incertitude quant à la pertinence de leurs dispositifs et à leurs coûts (Sabathé 2010).

Par ailleurs, la référence récurrente à la notion de résilience est nettement de nature à compliquer les choses tant le concept est changeant et manque d’une définition claire (Bhamra, Dani & Burnard 2011 ; Prior & Hagman 2013). Le Livre blanc sur la défense et la sécurité nationale de 2008 la définit comme « la volonté et la capacité d’un pays, de la société et des pouvoirs publics à résister aux conséquences d’une agression ou d’une catastrophe majeures, puis à rétablir rapidement leur capacité de fonctionner normalement » alors que la revue stratégique de 2017 précise que « les secteurs d’importance vitale comme les domaines stratégiques de l’industrie et de la recherche doivent voir leur résilience

consolidée. […] une partie d’entre eux demeure insuffisamment protégée et sensibilisée ». En 2010, cette dernière était présentée comme le but ultime de toute la politique mise en œuvre par le Secrétariat Général de la Défense et de la Sécurité Nationale (Coursaget 2010).

L’approche que les entreprises peuvent avoir de ces obligations est encore compliquée par le fait que ce type de politique est avant tout conçu pour faire face à des événements :

 Totalement exogènes à l’entreprise et sur lesquels les organisations pensent n’avoir aucune influence. Ce qui développe un réflexe un peu fataliste ne poussant pas à prendre des mesures pour y faire face, surtout si le management de l’entreprise a le sentiment que les autres acteurs du secteur ne jouent pas le jeu (Kunreuther & Heal 2003)

 Classés à l’extrémité d’une matrice d’évaluation des risques (Brasset & Vaughan- Williams 2015) : leurs impacts sont potentiellement graves voire catastrophiques mais leur probabilité faible. L’analyse et la prise en compte de ce type d’événements est particulièrement complexe et le simple fait de réunir des décideurs pour aborder cette question est un défi pour l’organisation de la gestion des risques d’une grande entreprise (Mikes & Kaplan 2014). Cela ne pousse pas les entreprises à engager des dépenses pour faire face à des menaces aussi improbables que changeantes.