Un opérateur de services essentiels (OSE) est une organisation dont l’activité est jugée vitale pour la société ou l’économie, et dont l’interruption aurait de lourdes conséquences. Désignés par l’État dans le cadre de la directive européenne NIS, les OSE, dans l’énergie, les transports, la santé, l’eau, la finance ou le numérique, doivent respecter des obligations renforcées de cybersécurité et de gestion de crise.
Qu’est-ce qu’un OSE ?
La notion d’opérateur de services essentiels vient de la directive européenne NIS (Network and Information Security). Un OSE fournit un service dont l’arrêt aurait un impact majeur : distribution d’électricité, transport ferroviaire, hôpitaux, eau potable, banques, plateformes numériques critiques. En France, ces opérateurs sont désignés par le Premier ministre, et le contrôle du respect de leurs obligations revient à l’ANSSI.
Quelles obligations ?
Un OSE doit sécuriser ses systèmes d’information, détecter les incidents, les notifier rapidement à l’autorité compétente et garantir la continuité de son service. Ces exigences rejoignent la logique d’un plan de réponse à incident cyber et d’un plan de continuité d’activité.
OSE, entité essentielle et NIS 2
La directive NIS 2 fera évoluer ce cadre : la notion d’OSE cédera la place à celle d’« entités essentielles » et « entités importantes », avec un périmètre beaucoup plus large d’organisations concernées. Beaucoup d’entreprises qui n’étaient pas OSE le deviendront, soumises à des obligations cyber renforcées. Une réserve de taille : au 2 septembre 2026, la France n’a pas encore transposé cette directive. En droit français, c’est donc toujours le régime OSE de la loi du 26 février 2018 qui s’applique.
OSE et OIV : à ne pas confondre
L’OSE (cadre européen NIS) ne doit pas être confondu avec l’OIV (opérateur d’importance vitale), un dispositif français de sécurité nationale plus ancien. Les deux visent la protection des activités critiques, mais relèvent de cadres juridiques distincts.
Pour aller plus loin
Questions fréquentes
C’est quoi un opérateur de services essentiels (OSE) ?
Qui désigne les OSE ?
Quelle différence entre OSE et OIV ?
Qu’est-ce que NIS 2 change pour les OSE ?
Ce que disent les textes
- Le texte qui crée le statut. La directive (UE) 2016/1148 du 6 juillet 2016 a été transposée par le titre Ier de la loi n° 2018-133 du 26 février 2018. Son article 5 vise les opérateurs, publics ou privés, « offrant des services essentiels au fonctionnement de la société ou de l’économie et dont la continuité pourrait être gravement affectée par des incidents » touchant leurs systèmes d’information. Ils sont désignés par le Premier ministre, et la liste est actualisée « au moins tous les deux ans ». Le décret n° 2018-384 du 23 mai 2018 et l’arrêté du 14 septembre 2018 en fixent la procédure et les règles de sécurité.
- Quatre domaines d’obligations, à la charge de l’opérateur. L’article 6 impose des règles de sécurité couvrant la gouvernance, la protection, la défense et la résilience des activités, et précise que les opérateurs « appliquent ces règles à leurs frais ». L’article 7 impose de déclarer « sans délai » à l’ANSSI tout incident ayant un impact significatif sur la continuité du service.
- Les sanctions visent les dirigeants. L’article 9 punit de 100 000 € d’amende le fait de ne pas se conformer aux règles de sécurité à l’issue d’une mise en demeure, de 75 000 € le défaut de déclaration d’incident et de 125 000 € l’obstacle aux contrôles. Ces contrôles, prévus à l’article 8, se font sur pièce et sur place, et leur coût est à la charge de l’opérateur.
- OSE et OIV : une exclusion partielle, pas totale. L’article 5 écarte le régime OSE pour les opérateurs d’importance vitale mentionnés aux articles L1332-1 et L1332-2 du code de la défense, mais uniquement pour leurs systèmes d’information d’importance vitale (article L1332-6-1). Un OIV peut donc relever du régime OSE pour ses autres systèmes.
- Ce que NIS 2 n’a pas encore changé en France. La directive (UE) 2022/2555 devait être transposée au plus tard le 17 octobre 2024 et a abrogé la directive de 2016 au 18 octobre 2024 (articles 41 et 44). Au 2 septembre 2026, la France ne l’a pas transposée : le Sénat a adopté le projet de loi le 12 mars 2025, la commission spéciale de l’Assemblée nationale a déposé son texte le 10 septembre 2025, et le vote en séance publique n’a pas eu lieu. En droit français, c’est donc toujours le régime OSE de 2018 qui s’applique.
Références vérifiées le 2 septembre 2026 sur Légifrance, EUR-Lex et les dossiers législatifs du Sénat et de l’Assemblée nationale.
Nous sommes à votre écoute pour préciser votre besoin.
Nos experts et consultants indépendants sont en mesure de vous accompagner de A à Z dans l’évaluation de vos risques pour anticiper les crises.
Encore faut-il savoir lesquels de ces risques vous concernent
Tous ne pèsent pas le même poids sur votre organisation, et l’ordre compte autant que la liste. Nous construisons la cartographie de vos risques avec vos équipes, sur vos activités et votre territoire.