Mesdames, Messieurs,
Le déploiement des réseaux de communications radioélectriques afin de garantir une couverture numérique sur l’ensemble du territoire national doit être un des objectifs premiers de toute politique d’aménagement numérique.
Toutefois, le déploiement de la 5G accroît les risques en matière de cybersécurité liés aux équipements de réseau du fait :
(1) des spécificités techniques de la 5G (gestion dynamique du réseau d’accès, introduction d’unités de traitement d’information aux bornes du réseau – edge computing) et
(2) des cas d’usage de la 5G pour des domaines industriels, pour certains secteurs critiques (e.g. véhicule connecté / autonome, industrie du futur, réseaux d’énergie, etc…).
Ces risques accrus font peser des exigences nouvelles de sécurité sur les équipements qui supporteront les futurs réseaux 5G, relatives tant à leurs caractéristiques techniques intrinsèques, qu’aux obligations légales qui pourraient contraindre leurs fournisseurs à coopérer avec des autorités étrangères dans la collecte de renseignement.
Il est inenvisageable de ne pas avoir de certitude absolue sur la sécurité et la fiabilité des réseaux quand ceux‑ci vont être, par exemple, indispensables au bon fonctionnement des véhicules connectés. Il ne peut y avoir de compromis à cet égard. C’est également notre intérêt économique sur le long terme : si des menaces étaient avérées sur certains réseaux en raison de choix techniques inappropriés, leur valeur en sera fortement dégradée et il faudra en limiter l’usage, au détriment de l’intérêt collectif.
Aussi cette proposition de loi prévoit‑elle un régime d’autorisation préalable, fondé sur des motifs de défense et sécurité nationale, des équipements des réseaux radioélectriques permettant de répondre à ces nouvelles exigences de sécurité des réseaux.
Cette proposition de loi vise à garantir un développement soutenable de la 5G et de ses usages en France. Pour les industriels « verticaux » (dans le secteur automobile par exemple) qui, pour certains, ne sont pas familiers du secteur des communications électroniques, il est essentiel d’avoir des garanties avant d’envisager de se servir des réseaux 5G pour leurs applications « métier ». Négliger ces enjeux serait un choix de courte vue si ceux‑ci font peser un risque sur la sécurité des usages qui pourront s’appuyer sur ces réseaux.
La menace à laquelle doit répondre la proposition de loi est celle de l’exploitation d’une faiblesse des équipements de desserte 5G (stations de base et ensemble des dispositifs d’interconnexion au cœur de réseau), afin de porter atteinte à la sécurité nationale. La faiblesse considérée pourrait résulter d’un défaut de conception, volontaire ou non, d’erreurs de configuration dans leur déploiement par les opérateurs, ou encore d’actions illégitimes ou d’erreurs des opérateurs ou de leurs sous‑traitants dans le cadre de la maintenance et de l’administration de ces équipements.
De telles faiblesses pourraient être exploitées à des fins d’espionnage, d’interruption du fonctionnement ou d’attaque informatique dirigée contre des services utilisant le réseau.
Il convient de noter qu’il existe déjà un dispositif d’autorisation préalable pour les mêmes équipements radioélectriques dans le code pénal (article R. 226‑3) mais celui‑ci a pour objet principal la protection du secret des correspondances électroniques et de la vie privée. Il se concentre à cette fin sur les opérations de commercialisation et d’acquisition des seuls équipements de nature à permettre des atteintes au secret des correspondances électroniques, qui ne constituent pas l’ensemble des équipements intégrés dans un réseau de télécommunications.
Enfin, le déploiement de la 5G est engagé en France avec des expérimentations lancées au cours de l’année 2018 ; pour minimiser l’impact sur les opérateurs et leur stratégie de déploiement 5G, il importe d’intervenir dès que possible – attendre 2021 soumettrait les opérateurs à des risques importants quant à leurs plans d’affaires.
L’article 1er prévoit que, préalablement à toute activité d’exploitation de certains équipements radioélectriques, les opérateurs devront adresser une demande d’autorisation au Premier ministre. Celui‑ci se prononcera dans un délai de deux mois à compter de la réception du dossier complet de demande.
La liste des équipements concernés est publiée et mise à jour par le Premier ministre.
Ce dernier se déterminera s’il existe un risque sérieux d’atteinte aux intérêts de la défense et de la sécurité nationale, en se basant sur les critères définis dans la loi et notamment au regard des garanties que présente l’équipement pour l’intégrité, la sécurité et la continuité de l’exploitation des réseaux et services de communications électroniques.
Si l’un de ces critères n’est pas garanti, la demande d’autorisation pourra être refusée par le Premier ministre. Pour l’appréciation de ces critères, les modalités de déploiement et d’exploitation mises en place par l’opérateur, et le fait que l’opérateur ou ses prestataires, y compris par sous‑traitance, soient ou non sous le contrôle ou soumis à des actes d’ingérence d’un État non membre de l’Union européenne, sera pris en compte.
L’autorisation sera délivrée pour un ou plusieurs modèles et versions d’appareil et un périmètre géographique pour une durée maximale de 8 ans. Le renouvellement de l’autorisation devra être demandé deux mois avant la fin de l’autorisation initiale.
À noter que le dispositif aménage pour les opérateurs une possibilité de mise en conformité de leur situation en cours, sur injonction du Premier ministre.
L’article 2 détermine un régime de sanction pénale en cas d’infractions aux dispositions de ce nouveau régime de contrôle. Celui‑ci prévoit une peine d’emprisonnement d’un an et une amende de 150 000 euros, pour une personne physique déclarée responsable de l’infraction. Le juge peut également prononcer la confiscation des matériels ou leur destruction ainsi qu’une interdiction de 3 ans maximum d’établissement de réseaux de communications électroniques.
L’amende encourue par la personne morale est quant à elle égale au quintuple de l’amende infligée à la personne physique, soit 750 000 d’euros. Les personnes morales encourent également une interdiction à titre définitif ou pour une durée de 5 ans d’exercer une activité et l’affichage ou la diffusion de la décision.
Les manquements des opérateurs pourront également être sanctionnés par l’Autorité de régulation des communications électroniques et des postes au titre de son pouvoir de sanction.
L’article 3 prévoit que le régime d’autorisation préalable s’applique aux appareils installés à partir du 1er janvier 2019. Les opérateurs auront deux mois à partir de la date d’entrée en vigueur de cette loi pour demander l’autorisation d’exploiter des équipements soumis au régime d’autorisation et déjà installés.