Stocks stratégiques et opérateurs d'importance vitale : ce que prévoit vraiment la loi du 16 août 2026

il y a 10 minutes

5 min de lecture

Depuis plusieurs mois, l'attention du secteur de la sécurité et de la sûreté se concentre sur un seul texte : le projet de loi Résilience, censé transposer en droit français les directives européennes NIS2, REC et DORA. Sauf qu'à la rentrée 2026, ce texte reste bloqué. Adopté par le Sénat dès mars 2025, examiné en commission spéciale à l'Assemblée nationale en septembre 2025, il n'a toujours pas été inscrit en séance publique. La France a d'ailleurs été renvoyée devant la Cour de justice de l'Union européenne début juillet 2026 pour retard de transposition, selon la presse spécialisée en cybersécurité.

Pendant que tout le monde regarde ce chantier à l'arrêt, un autre texte, sans rapport direct avec NIS2, a modifié le régime des opérateurs d'importance vitale (OIV). Il s'agit de la loi n° 2026-791 du 16 août 2026 , qui actualise la programmation militaire 2024-2030. Un texte de défense, promulgué en plein été, qui touche pourtant directement à la gouvernance sûreté d'un grand nombre d'organisations. Voici ce qu'il faut en retenir — et ce qu'il faut écarter des interprétations approximatives qui circulent déjà à son sujet.

Qu'est-ce qu'un opérateur d'importance vitale ?

Le statut d'OIV est défini par le code de la défense (articles L. 1332-1 et suivants) : il vise les opérateurs, publics ou privés, dont les activités sont indispensables au fonctionnement de l'économie, de la société, à la défense ou à la sécurité de la Nation — ou dont l'arrêt ou la destruction porterait gravement atteinte au potentiel de guerre ou économique du pays. Le dispositif, créé en 2006, repose sur douze secteurs d'activités d'importance vitale : énergie, eau, alimentation, santé, transports (terrestre, maritime, aérien), communications électroniques, audiovisuel, finances, industrie, activités industrielles de l'armement, espace, et activités civiles de l'État. Selon le Secrétariat général de la défense et de la sécurité nationale (SGDSN), qui pilote le dispositif, plus de 300 opérateurs sont aujourd'hui désignés d'importance vitale, exerçant leur activité sur près de 1 500 points d'importance vitale — usines, data centers, sites administratifs — répartis sur tout le territoire.

Concrètement, cela recouvre aussi bien un gestionnaire de réseau électrique ou de distribution d'eau, qu'un établissement de santé assurant une activité jugée vitale, un opérateur télécoms, une banque systémique ou un site industriel de la filière défense. La désignation elle-même, ainsi que la liste précise des opérateurs concernés, reste classifiée pour des raisons de sécurité nationale : une organisation apprend généralement son statut d'OIV directement de l'État, via le ministère coordonnateur de son secteur. C'est cette même population d'opérateurs, déjà soumise aux obligations historiques du dispositif SAIV, qui est visée par la nouvelle faculté de stocks stratégiques introduite par la loi du 16 août 2026.

Une nouvelle obligation : constituer des stocks stratégiques minimaux

L'article 11 de la loi crée un nouvel article dans le code de la défense, le L. 1332-6-1 AA. Il permet à l'autorité administrative d'imposer par arrêté, à un opérateur d'importance vitale, de constituer un stock minimal de matières premières, composants, pièces de rechange ou produits finis et semi-finis jugés indispensables à la continuité de son activité — et d'en assurer le réapprovisionnement continu au fur et à mesure de son utilisation.

Ce n'est pas une obligation générale et automatique qui s'appliquerait du jour au lendemain à tous les OIV. C'est un mécanisme au cas par cas : l'autorité administrative doit d'abord prendre un arrêté, sur proposition du ministre du secteur concerné et après consultation de l'opérateur. Cet arrêté précise la nature, le volume et la durée de conservation du stock, en tenant compte de sept critères fixés par la loi : dépendance aux approvisionnements, risques pesant sur les chaînes d'approvisionnement, menaces de toute nature y compris terroriste, situation économique de l'opérateur, contraintes logistiques, conditions de prix, et possibilités de mutualisation avec d'autres opérateurs du même secteur. Le stock imposé ne peut pas dépasser le volume nécessaire à faire face à une rupture d'approvisionnement pendant une durée elle-même plafonnée à six mois, et l'arrêté est réexaminé chaque année.

Deux précisions qui comptent pour évaluer l'exposition réelle d'un opérateur : les opérateurs d'un même secteur peuvent, avec autorisation, mutualiser ces stocks entre eux — et ils ne peuvent prétendre à aucune indemnisation pour les coûts de constitution et d'entretien de ces stocks.

L'amende de 150 000 € — et ce qu'elle sanctionne réellement

C'est le même article 11 qui insère l'amende de 150 000 euros, dans l'article L. 1332-7 du code de la défense. Mais elle ne sanctionne pas l'absence d'un document de planification quelconque, ni le fait de ne pas avoir identifié nommément ses sous-traitants critiques. Elle punit le fait, pour un OIV, de ne pas se conformer — après mise en demeure restée sans effet — à l'obligation de constitution de stock qui lui a été spécifiquement imposée par arrêté au titre du nouvel article L. 1332-6-1 AA.

Autrement dit : pas d'arrêté sectoriel ou individuel visant votre organisation, pas d'obligation de stock, et donc pas de risque d'amende sur ce fondement. L'exposition dépend directement du secteur d'activité et de la décision administrative — pas d'une case à cocher universelle.

Une obligation qui n'est pas encore applicable

C'est le point le plus souvent oublié dans les résumés qui circulent : le texte prévoit lui-même que cette disposition entre en vigueur à une date fixée par décret, et au plus tard un an après la promulgation de la loi — soit, au plus tard, le 16 août 2027. Tant que ce décret n'est pas publié, ni l'obligation de stock ni l'amende associée ne sont opposables à un opérateur.

Ce délai n'est pas une raison d'attendre. Les critères que l'autorité administrative devra examiner — dépendance aux fournisseurs, cartographie des chaînes d'approvisionnement, criticité des ressources — sont précisément ceux qu'un audit de sûreté sérieux et un plan de continuité d'activité bien construit permettent déjà d'anticiper. Les organisations qui auront déjà cartographié leurs dépendances critiques et leurs ressources indispensables lorsque le décret paraîtra seront en position de dialoguer avec l'administration sur des bases solides — celles qui découvriront le sujet à réception de l'arrêté partiront avec un temps de retard.

Une méthode qui n'a rien de nouveau

Cette manière de faire évoluer le régime des OIV par petites touches, via des lois de programmation militaire successives, n'est pas une première. Fin 2013, l'article 22 d'une précédente loi de programmation militaire est venu ajouter au dispositif SAIV tout un volet cybersécurité — la notion de systèmes d'information d'importance vitale (SIIV), les obligations de déclaration et de notification d'incidents à l'ANSSI qui structurent encore aujourd'hui le dispositif SAIV. Douze ans plus tard, une autre LPM ajoute un volet logistique et physique au même édifice juridique.

Pour les Directeurs Sécurité-Sûreté qui pilotent des organisations relevant du régime OIV, ce précédent est instructif : le socle réglementaire de la sûreté des opérateurs vitaux ne progresse pas uniquement par les grands textes attendus et débattus publiquement — comme la directive REC ou NIS2 — mais aussi par des amendements techniques insérés dans des véhicules législatifs qui n'ont, en apparence, rien à voir avec la sûreté d'entreprise. Une veille réglementaire qui se limiterait aux textes annoncés comme « la » grande réforme du secteur laissera nécessairement passer ce type d'évolution.

Ce qu'il faut retenir

La loi n° 2026-791 est réelle, promulguée, et elle modifie bien le code de la défense applicable aux opérateurs d'importance vitale. Mais l'obligation qu'elle crée porte sur des stocks physiques de ressources critiques, pas sur un document identifiant des sous-traitants. Elle ne s'applique qu'aux opérateurs visés par un arrêté spécifique, pas à l'ensemble des OIV. Et elle n'entrera en vigueur qu'après la publication d'un décret, au plus tard mi-août 2027. Le sujet mérite d'être suivi de près — mais sur la base du texte lui-même, pas d'un résumé qui en déforme la portée.

Vous êtes un opérateur d'importance vitale ou vous accompagnez la gouvernance sûreté d'une organisation soumise au dispositif SAIV ?

Nos experts CARINEL vous aident à cartographier vos dépendances critiques et à structurer votre plan de continuité d'activité avant que cette échéance réglementaire ne devienne contraignante.

Réservez un échange gratuit avec nos experts - ICI

📞 01 89 71 59 06 📧 info@carinel.com 🌐 www.carinel.com