Réponse publiée le 11 février 2025

Le sujet des jumeaux numériques revêt des enjeux stratégiques en termes de souveraineté nationale et sur le plan capacitaire. Les problématiques de souveraineté reposent sur le traitement de données, pouvant être sensibles, par ces outils complètement dématérialisés. A ce titre, l'Etat porte une attention particulière à l'utilisation faite des jumeaux numériques (à différentes échelles : bâtiment, infrastructure, site ou territoire), notamment lorsqu'ils sont couplés avec des systèmes d'hypervision en temps adapté. L'offre est multiple : Dassault Systems, Sopra Steria, SNEF, ERIMA (titulaire du marché SECPRO de la défense), PRYSM, et des entreprises de taille plus modeste qui, en ajoutant des couches logicielles vendent leurs services à des sites sensibles, collectivités territoriales ou services de l'Etat. A titre d'exemple, l'IGN travaille actuellement sur le déploiement d'un jumeau numérique à l'échelle nationale qui comportera des restrictions sur les zones interdites à la prise de vue aérienne (ZIPVA). L'Etat ne dispose pas à ce jour de liste exhaustive des opérateurs mettant en œuvre des jumeaux numériques sur leurs sites, mais les opérateurs d'importance vitale (OIV) sont régulièrement sensibilisés sur le partage d'informations. Depuis 2013, les opérateurs d'importance vitale (OIV), désignés au titre du dispositif de sécurité des activités d'importance vitale (SAIV), régi par les articles L. 1332-1 et suivants du code de la défense, doivent identifier au sein de leurs structures les systèmes d'information d'importance vitale sans lesquels ils ne pourraient pas assurer leur protection ou la bonne réalisation de l'activité d'importance vitale pour laquelle ils ont été désignés. Ils ont l'obligation de déclarer les systèmes d'information identifiés et de mettre en œuvre les mesures de cybersécurité établies par l'agence nationale de la sécurité des systèmes d'information (ANSSI). Le dispositif de SAIV prévoit aussi la possibilité pour les OIV de demander à ce que des enquêtes administratives de sécurité soient effectuées, en application de l'article L. 1332-2-1 du code de la défense, à la condition que ces enquêtes soient prévues dans les plans de protection validés par l'autorité administrative et qu'elles s'effectuent sur des personnes ayant un accès physique à un point d'importance vitale – soit un lieu, un site ou un établissement désigné comme infrastructure critique. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (PRMD2412608L), déposé au Sénat le 15 octobre 2024, visant notamment à transposer la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques (REC), prévoit la possibilité pour un opérateur d'importance vitale de demander la réalisation d'une enquête pour les personnes ayant accès à distance à des systèmes d'information d'importance vitale ou pour les personnes qui occuperaient des fonctions sensibles au sein de l'entité.