Renforcement de la cybersécurité : Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (ARCEP) - Mardi 8 juillet 2025

31:08 - 31:10

Philippe Latombe

Merci beaucoup monsieur le rapporteur général, si je vous laisse.

31:10 - 34:23

Éric Bothorel

Merci monsieur le président, madame la présidente. Alors je me suis demandé pourquoi nous entendions aujourd'hui la recette, je n'ai pas oublié que je fais partie de ceux qui en avaient demandé l'audition Et puis je me suis replongé dans vos compétences propres comme autorité indépendante. Et j'ai lu avec plaisir et gourmandise notamment votre manifeste qui commence ainsi. Les infrastructures en numérique que sont les réseaux d'échanges internet, télécoms, fixes, mobiles, les centres de données, ainsi que les réseaux postaux et les distributions de la presse constituent des infrastructures de liberté.

Liberté d'expression et de communication, liberté d'accès aux savoirs et de partage, liberté d'entreprise et d'innovation qui sont autant d'enjeux clés pour le développement économique et la cohésion de notre pays au sein de l'Europe. Et je salue car j'entends surtout parler en ce moment de l'interdiction de contrôle de sanctions et de surveillance légale certes, mais ça fait du bien de rappeler les éléments de liberté. Alors comment l'ARCEP va contribuer dans nos débats à que nous ouvrions à la résilience d'infrastructures de liberté. Vous venez de produire en mai 2025 une note bien nommée la résilience des réseaux de communication électronique dans le cadre de notre de votre cycle de réflexion, réseau du futur. Vous y pointez 3 familles de risques : organisationnels, technologiques et naturels.

Dans le risque organisationnel, pointez notamment la fragmentation de secteurs impliqués dans l'exploitation des réseaux de communication électronique. Du point de vue de l'ARCEP, cela a un impact sur la cybersécurité, c'est une question : comment travaillez-vous ces sujets ? Par ailleurs, compte tenu de l'émergence de nouveaux acteurs impliqués dans l'exploitation de l'infrastructure de communication électronique, je pense à Tobarco, fournisseur d'offres telco cloud, vous préconisez une revue des obligations de l'ensemble des acteurs impliqués, ce qui permettrait de s'assurer que tous disposent d'obligations appropriées et proportionnées au regard de l'objectif de sécurisation et de résilience, et, le cas échéant, d'adapter ou préciser les règles. De votre point de vue, il y aurait des trous dans la raquette dans le PJL pour s'assurer que tous les opérateurs auraient bien les mêmes obligations, ce que vous pourriez, bon venu le le préciser. Enfin vous, pour les risques technologiques, vous soulignez la virtualisation et programmation logicielle des réseaux à l'origine d'une mutation profonde des architectures opérateurs. C'est un point de vue pertinent.

Nous parlons y compris dans ce projet de loi d'infrastructures, vous semblez insister sur la virtualisation propre à ces nouveaux réseaux. Plus précisément, cette ouverture permet à des tiers, société de services, fournisseurs d'applications, clients industriels, verticaux, MVNO, d'instanciers et d'orchestrer eux-mêmes des services virtualisés. Elle implique Donc de nouveaux acteurs auront accès à certaines données et fonctions liées à l'exploitation de réseaux, notamment celle de configuration et souscription, qui relève du suivi de performance, de la supervision et de la maintenance du réseau, qui devrait à priori rester sous le contrôle exclusif de l'opérateur des réseaux. Du point de de l'ARCEP, y a-t-il des évolutions législatives nécessaires, y compris dans le renforcement de vos propres compétences Enfin pour les risques naturels, j'ai lu avec intérêt vos preuves sur l'organisation, les moyens mis en oeuvre et les retours d'expérience pour la gestion de crise. Vous citez France Stratégie dans sa note d'analyse, risques climatiques, réseaux et indépendants et interdépendance pardon, le temps d'agir en insistant, je vous cite, les réseaux d'électricité, de transport routier ferroviaire et télécommunications sont associés en fonctionnement normal comme en temps de crise par de nombreux liens de dépendance physiques ou découlant des relations entre les acteurs.

Je finirai ma liste de questions par celle-ci, l'ARCEP a-t-elle des recommandations sur cette gestion de crise et plus spécifiquement l'interpandance, l'interpandante dépendance des réseaux électriques et de télécommunications. Je vous remercie.

34:24 - 34:32

Merci monsieur le général. Je vous propose de prendre les questions du rapporteur général puis ensuite on on ouvrira les les questions aux aux députés présents parce que la liste est assez conséquente.

34:37 - 35:26

Laure de La Raudière

Merci monsieur le président, monsieur le rapporteur général. J'ai commencé en fait directement sur le projet de loi préliminaire en vous faisant une synthèse de ce qui était dans notre avis au gouvernement. Mais je voudrais à la fois rappeler le rôle de l'ARCEP. Nous sommes un régulateur économique qui est intervenant axé sur les marchés. Alors qu'est-ce que ça veut dire un régulateur économique ? C'est qu'on surveille un marché et on voit si ce marché a des dysfonctionnements en matière de concurrence ou en matière de réponse à des intérêts généraux que nous ont confiés la loi en matière de compétences et que ne respecteraient pas naturellement les acteurs privés.

35:58 - 35:59

Éric Bothorel

À partir de ça, on met des obligations aux opérateurs dans un de façon très encadrée finalement pour respecter des obligations d'intérêt général, l'aménagement du territoire, la concurrence, l'innovation, tous ces sujets-là et pour faire en sorte en fait que les acteurs privés répondent à ces ces enjeux au-delà même au-delà même de leur intérêt privé qui est comme chaque entreprise de faire du profit.

36:00 - 38:42

Quand je dis ça, quand je regarde les enjeux de sécurité et de cybersécurité, c'est des enjeux qui sont de la responsabilité du gouvernement et pas de l'ARCEP dans la répartition des rôles que nous pouvons avoir entre services de l'État. Pour autant, l'importance que prennent les réseaux, l'importance que prend la connectivité internet dans notre vie sociale, dans notre vie économique est toujours plus importante et nous avons voulu en fait mettre ce sujet sur la table en tant qu'experts des télécoms dans le cadre de nos travaux réseau du futur, qui est un comité prenant des sujets de façon prospective et qui les mène, qui les porte dans le débat public. Donc là, est dans notre rôle, non pas directement de régulateur économique, mais dans notre rôle d'expert au service du débat public. C'est dans ce cadre-là qu'a été faite la note résilience et, dans la suite de la publication de cette note, nous avons organisé un webinaire avec le gouvernement, avec la direction générale des entreprises à destination des collectivités pour réfléchir ensemble aux actions à mettre en œuvre pour la résilience. C'est aussi dans, je dirais, ce cadre-là qu'on peut s'intéresser à des sujets de cybersécurité puisque c'est absolument indispensable en fait que dans la résilience il y ait une partie qui concerne la cybersécurité, le fait que les réseaux ne tombent pas suite à des attaques informatiques.

Mais encore une fois, le rôle est de faire respecter et de s'intéresser aux enjeux de cybersécurité, c'est davantage le rôle du gouvernement que de l'ARCEP. Concernant la virtualisation des réseaux, c'est un bon point. A soulevé cet enjeu. Les réseaux progressivement intègrent beaucoup de prix que logiciels, des fournisseurs différents et ça amène de nouvelles vulnérabilités par rapport aux architectures antérieures. Et nous alertons en fait là aussi les gens qui vont travailler sur l'application de la mise en application de Nice 2, mais aussi directement les opérateurs sur un travail fin en matière de nouvelles, enfin détection des nouvelles fragilités dans les réseaux.

38:51 - 40:15

Ce que je vous propose, c'est de passer aux questions des collègues s'ils en ont, en commençant par une question que je vais vous poser. Lors d'une audition précédente avec un nombre de représentants du secteur des télécommunications, ils nous ont fait part d'une demande de modification ou, en tout cas, d'éclaircissement sur la partie. Puisque dans DORA, les entités qui sont soumises à DORA ont la possibilité de diligenter des audits auprès de leurs fournisseurs critiques, et un certain nombre d'opérateurs de télécommunications sont des fournisseurs critiques pour ces entités soumises à DORA, ils nous disent qu'ils voudraient deux limitations. La première c'est que les audits concernant les systèmes d'information soient limités à la partie critique de leur système d'information, pas sur la totalité de leur système d'information. Est-ce que vous partagez cette demande ? Et la deuxième demande, c'est la possibilité pour ces entités de pouvoir avoir un mécanisme de refus de l'auditeur, non pas pour la question de l'audit, mais parce que l'auditeur pourrait être d'une nationalité étrangère et donc qu'il pourrait y avoir des informations importantes ou critiques, sensibles, économiquement, stratégiques qui pourraient être utilisées par ces cabinets.

Donc est-ce que vous partagez cette analyse et je laisse la, s'il n'y a pas de questions, vous laisse y répondre et puis on verra si les collègues veulent poser ensuite.

40:16 - 43:05

Merci Monsieur le Président. Sur la la première première question qui est de limiter les audits au seul SI des infrastructures critiques en fait ça me paraît assez naturel en fait. Pourquoi les acteurs soumis à Dora auraient besoin d'avoir accès aux services clients, aux services de facturation si c'est suffisamment étanche aux acteurs en fait aux opérateurs de communication de prouver l'étanchéité suffisante de leur système d'information. Mais sinon, paraît assez logique que c'est plutôt le systèmes d'information qui sont qui pilote les coeurs de réseau et qui pilote les équipements de communication qui rendent le service plus que les systèmes d'information qui soient des systèmes ressources qui ne seraient pas utiles au fonctionnement même du réseau. Mais encore une fois, pense que le mieux placé pour répondre à ce sujet, c'est sans doute l'ANSSI à la fois d'un point de vue technique.

Là, peut-être qu'Olivier est plus technique que moi, mais il faut rentrer dans la technique pour pouvoir rentrer répondre à cette question de façon précise. Et là moi je vous dis je pense que ça ça me paraît d'être bon ton, après c'est Alan Si de regarder ce sujet-là. Sur le deuxième refus de l'auditeur pour des raisons de nationalité ou des raisons qui seraient justifiées, il faut peut-être donner la possibilité à un tiers d'être capable de prononcer un refus. Mais l'entreprise qui est audité, est forcément jugée partie. Donc enfin vous trouverez la façon de bien rédiger ce dispositif pour l'équilibrer, pour ne pas passer du tout au tout quoi.

C'est voilà, il est sûr que il faut aussi protéger les auteurs qui sont audités de risque d'espionnage ou autres risques bien évidemment ou de risque concurrentiel. Donc il faut que les auditeurs qui soient missionnés chez eux respectent certains critères de déontologie, respect, et ça il faut l'équilibrer avec une capacité d'avoir quelqu'un d'extérieur qui puisse vérifier ça. Ce que j'ai à dire, mais encore une fois, là, c'est loin des compétences de l'ARCEP, c'est ma réaction par rapport à votre question. J'oublie la question de d'Eric Bottorel sur le trou dans la raquette et je ne sais pas si tu te souviens de de ce dispositif Olivier, mais je te donne la parole.

43:07 - 44:16

Speaker 4

Non mais sur cette question, je crois que ce que nous, on pointait principalement dans la note que vous avez citée, c'était la modification, disons, de l'organisation du secteur où on est passé, disons, d'un secteur avec quelques opérateurs nationaux, avec la fibre, avec un découpage de responsabilités entre opérateurs d'infrastructures, opérateurs commerciaux, des fonds d'infra, et donc de façon générale, c'était plutôt sur la mise en œuvre d'un dispositif pour le mettre en œuvre de façon pertinente. Ils ont bien à avoir en tête cette organisation, que ce soit pour choisir les opérateurs d'importance vitale ou pour définir des obligations un peu plus générales. De enfin dans Nice pour nous il n'y a pas de trou dans la raquette. Bon dans les champs des opérateurs d'importance vitale pour les raisons que la présidente a exprimé en introduction, on n'a pas la connaissance exactement des choix, mais il y a eu des bouleversements dans l'organisation du secteur qu'il faut prendre en compte dans la désignation des opérateurs les plus sensibles. Voilà c'était c'était plus dans ce champ de la mise en oeuvre, le cadre il paraît quand même très complet pour ce qui concerne les opérateurs de communication électronique.

44:17 - 44:18

Merci beaucoup.

44:18 - 45:10

Vincent Thiébaut

Monsieur Thibault. Oui, une question, merci beaucoup pour ces éléments, très rapide. Effectivement, par rapport à la problématique des résidences, des infrastructures qui est importante, et notamment des opérateurs. Comment vous évaluez le risque du fait aujourd'hui au niveau européen Nous ne sommes pas forcément très producteurs de matériel d'infrastructures et que potentiellement ces systèmes d'infrastructures utilisés par des opérateurs peuvent avoir un risque, je ne dirais pas de cheval de Troie, mais comment vous vous appréhendez cette problématique effectivement du fait qu'on a des exigences qui sont sont tout à fait sont normales, nous donnons des exigences, nous soumettons des exigences aux opérateurs, mais eux-mêmes du fait du peu de choix des fois en termes de diversification du matériel, se mettent pas eux-mêmes aussi aux risques et on n'a pas un cheval de droit dans le dispositif.

45:10 - 45:14

Merci beaucoup monsieur le rapporteur général, vous avez une question subsidiaire.

45:15 - 45:53

Éric Bothorel

Oui, je ne pouvais pas ne pas la poser, mais vous n'auriez pas tout à fait dû la poser, monsieur le président, parce que nous sommes là avec la présidente de la pensée que les échanges d'information et de courrier reposent sur un principe en matière de confiance qu'est le secret des correspondances. Avions eu à faire évoluer notre droit d'ailleurs, parce qu'une partie de notre droit sur les télécommunications reposait sur ce secret de correspondance quand il a fallu rénover le texte autour de l'émergence de la 5G. Et donc assez naturellement, je vous pose la question, la présidente, vous n'ignorez pas que dans ce texte, une disposition particulière a été ajoutée par le Sénat en matière de protection du chiffrement. Ma question est simple, qu'en pensez-vous Trougez-vous ça utile ou nécessaire

45:57 - 49:14

Je vous laisse répondre madame la présidente. Merci monsieur le président sur pour monsieur le député sur les sur la résilience et les infrastructures, sur le fait qu'il peut y avoir des équipements qui sont d'origine étrangère hors Europe en fait, qui sont utilisés dans sur nos réseaux, je dirais c'est c'est cas de toute notre économie. Alors c'est des infrastructures critiques, on a, ça concerne beaucoup plus largement en fait que les opérateurs de communication, c'est-à-dire le secteur est très large sur Nice 2 aussi et c'est évident que je souscris à l'idée de développer en fait la possibilité d'avoir pour les offres les plus, les services les plus critiques, des offres souveraines, bien évidemment. Mais là c'est encore une fois, alors ce que l'ARCEP peut apporter dans ce domaine-là, c'est intéressant quand même, notamment dans le domaine des offres cloud, c'est que notre rôle c'est d'ouvrir les marchés numériques. Et donc quand on ouvre des marchés numériques, on permet à des acteurs émergents d'apparaître sur un marché.

Mais ça ne suffit pas, ça ne pas. Il s'ouvre aussi qu'il ait il en face des acteurs qui offrent des solutions de niveau et de qualité suffisantes pour les entreprises. Mais là je pourrais en parler encore plus longtemps et dans une autre casquette que l'ARCEP, mais je pense aussi qu'il y a intérêt, au niveau européen, à donner accès au marché public à ces entreprises souveraines. Pourquoi Parce que marché compétitif, c'est-à-dire le marché de l'entreprise, toujours plus difficile quelquefois de tester des solutions. Il a, ils sont, les marchés sont en concurrence, les entreprises ont peur de part de, de perte de part part de marché si elles n'ont pas le modèle le plus poussé.

Dans les marchés publics, n'a pas le même niveau de compétition. On a un niveau d'exigence de qualité de service, bien sûr, vis-à-vis des citoyens, mais il n'y a pas forcément tout à la même urgence. Bon ça, c'est un domaine qui me passionne, mais oui, vous avez raison. Il a quand même rappelé que dans le domaine des télécoms, il y a deux équipementiers qui sont européens, Ericsson et Nokia. Et donc par rapport à d'autres domaines, on a une certaine protection d'ailleurs qui a été mise en place dans une loi qui devait s'appeler la loi Bottorelle à l'époque et pour justement tenir compte que certains équipementiers réseaux étrangers, enfin en tout cas que tous les équipementiers qui étaient utilisés par nos opérateurs de télécommunications devaient respecter certaines règles et devaient être habilités par l'ANSSI.

Donc on va pas dire qu'ils sont étrangers parce que ce n'était pas l'objectif de la loi botorelle, mais voilà. Sur le secret des correspondances, oui et nous sommes très attachés au chiffrement aussi, on l'a l'a redit régulièrement et voilà après c'est à la représentation nationale de décider de l'issue de cela bien sûr. Nous sommes enfin nous pensons en fait que l'absence de chiffrement ou l'accès aux clés de chiffrement nécessite en fait créer des fragilités en fait dans dans le système protection des correspondances.

49:15 - 49:22

Merci madame présidente, pas de plus de questions. Je vous remercie de votre présence et je lève la séance. Merci beaucoup.