L’Europe impose 36 mois pour éjecter les fournisseurs à risque de ses réseaux critiques

20 janvier 2026. La Commission européenne publie son Cybersecurity Package, un bloc législatif en deux volets qui refond l’architecture réglementaire de la cybersécurité européenne. Au cœur du dispositif : le Cybersecurity Act 2 (CSA2), qui impose pour la première fois le retrait obligatoire des fournisseurs jugés à haut risque des infrastructures critiques du continent.

36 mois. C’est le délai maximal accordé aux opérateurs de télécommunications mobiles pour retirer les équipements issus de fournisseurs classés à risque de leurs réseaux, une fois la liste officielle publiée par la Commission. Pour les réseaux fixes et satellitaires, les calendriers seront fixés par actes d’exécution ultérieurs, mais le principe est le même : il ne s’agit plus de recommandations, mais d’obligations.

7 % du chiffre d’affaires mondial. C’est le plafond des amendes prévu pour les violations les plus graves des interdictions et mesures d’atténuation imposées par la Commission. Un niveau de sanction qui place le CSA2 dans la même catégorie de sévérité que le RGPD.

Ce n’est pas une surprise tactique. C’est l’aboutissement d’une décennie de tensions géopolitiques autour des équipementiers télécoms chinois — Huawei et ZTE en tête —, de pressions américaines répétées sur les alliés européens, et d’une application volontaire de la 5G Security Toolbox de 2020 que Bruxelles juge aujourd’hui trop lente et trop inégale. Le CSA2 passe du « vous devriez » au « vous devez », et il le fait avec des dents.

Un cadre horizontal pour 18 secteurs critiques

La nouveauté la plus structurante du CSA2 n’est pas seulement la phase d’éjection des télécoms — c’est l’introduction du premier cadre horizontal européen de sécurité des chaînes d’approvisionnement ICT. Jusqu’ici, la réglementation européenne en matière de sécurité informatique fonctionnait par silos sectoriels. Le CSA2 crée un mécanisme unique applicable aux 18 secteurs critiques couverts par la directive NIS 2 : énergie, transports, santé, infrastructures numériques, services cloud, centres de données, eau potable, administration publique, et tous les autres.

Le mécanisme fonctionne en trois étapes progressives.

D’abord, la Commission peut adopter des actes d’exécution identifiant des actifs ICT clés — les équipements, logiciels et services dont la compromission causerait une perturbation grave de la chaîne d’approvisionnement ou une exfiltration massive de données. Un composant peut être classé « clé » s’il remplit des fonctions essentielles ou sensibles, s’il crée un risque de dépendance par concentration fournisseur, ou si des évaluations de risque à l’échelle de l’Union le justifient.

Ensuite, la Commission peut désigner des pays tiers et les entités qu’ils contrôlent comme fournisseurs à haut risque. Les critères incluent : l’existence de lois nationales obligeant à signaler des vulnérabilités logicielles ou matérielles aux autorités du pays, l’absence de contrôle judiciaire ou démocratique effectif, ou des indications crédibles d’activités cyber malveillantes menées depuis ce pays. La qualification est structurelle et non technique : ce n’est pas le produit qui est jugé défaillant, c’est l’environnement juridique et politique du fournisseur qui est considéré comme une menace.

Enfin, une fois le pays et le fournisseur classés, la Commission peut interdire à certaines catégories d’entités NIS 2 d’utiliser, d’installer ou d’intégrer des composants ICT de ces fournisseurs dans les actifs clés, ou leur imposer des mesures d’atténuation ciblées : obligations de transparence sur les sous-traitants, restrictions sur les transferts de données vers les pays tiers, audits de sécurité par des tiers indépendants, diversification forcée des fournisseurs.

Télécoms : le régime spécial

Les réseaux de communications électroniques — mobiles, fixes et satellitaires — sont soumis à un régime distinct, plus strict et plus rapide, inscrit dans l’Annexe II du règlement. Pour ces réseaux, les actifs ICT clés sont prédéfinis par la loi, sans attendre d’acte d’exécution. Et la règle est binaire : les composants issus de fournisseurs à haut risque doivent être retirés, point final.

Pour les réseaux mobiles, le délai maximal est de 36 mois à compter de la publication de la liste des fournisseurs à haut risque. Les opérateurs concernés n’ont pas le droit d’installer de nouveaux composants de ces fournisseurs entre-temps. Pour les réseaux fixes et satellitaires, les calendriers spécifiques seront négociés par actes d’exécution, mais la trajectoire est la même.

La GSMA, l’association mondiale des opérateurs mobiles, a réagi avec prudence. Elle soutient l’objectif de renforcement de la cybersécurité mais avertit que les mesures « doivent être strictement fondées sur les risques et opérationnellement viables », et que les amendements proposés « pourraient compromettre la capacité des opérateurs européens à moderniser leurs réseaux au rythme nécessaire ».

Huawei a été plus direct. L’équipementier chinois dénonce une proposition législative qui « limite ou exclut les fournisseurs non-européens sur la base du pays d’origine, plutôt que sur des preuves factuelles et des normes techniques », y voyant une violation des « principes juridiques fondamentaux de l’UE que sont l’équité, la non-discrimination et la proportionnalité, ainsi que ses obligations à l’OMC ». L’entreprise se réserve « tous les droits pour sauvegarder ses intérêts légitimes », ce qui laisse entrevoir un possible contentieux devant l’OMC.

ENISA monte en puissance

Le CSA2 transforme l’Agence de l’Union européenne pour la cybersécurité (ENISA) d’un organe consultatif en un véritable bras opérationnel. Son budget augmente de plus de 75 %, chaque État membre désigne deux officiers de liaison permanents, et l’agence hérite de nouvelles missions critiques :

• Coordination opérationnelle des réponses aux incidents transfrontaliers, en lien avec l’EU-CyCLONe (le réseau européen de liaison pour les cybercrises).
• Alerte précoce sur les menaces majeures, avec capacité d’émission directe vers les États membres.
• Gestion de la plateforme unique de signalement des incidents, introduite par le paquet Digital Omnibus, pour mettre fin à la fragmentation des notifications.
• Helpdesk ransomware dédié aux entités essentielles et importantes, en coopération avec Europol et les CSIRT nationaux.
• Réserve européenne de cybersécurité, un pool de prestataires de réponse aux incidents mobilisable sur demande d’un État membre.
• Académie des compétences cybersécurité, avec des schémas d’attestation de compétences valables dans toute l’Union.
• Élaboration des spécifications techniques des futurs schémas de certification, dans un délai contraint de 12 mois par schéma.

L’agence devient également gestionnaire de la base de données européenne des vulnérabilités, instaurée par l’article 12 de NIS 2, et pilote le développement des schémas de certification européens — un chantier qui patinait depuis 2019.

Certification : sortir de l’enlisement

Le cadre européen de certification cybersécurité (ECCF), créé en 2019, n’a produit qu’un seul schéma adopté en cinq ans : l’EUCC, basé sur les Critères Communs. Deux autres schémas sont en développement — pour les portefeuilles d’identité numérique (EUID) et les services de sécurité managés (EUMSS) — mais les travaux sur la certification cloud (EUCS) et 5G (EU5G) étaient bloqués par des désaccords politiques sur les clauses de souveraineté.

Le CSA2 débloque la situation avec plusieurs leviers :

• Il étend le périmètre de certification aux pratiques organisationnelles : une entreprise pourra désormais certifier sa « posture cyber » globale, et pas seulement ses produits ou services. Ce certificat de posture vaudra présomption de conformité avec NIS 2 et d’autres législations sectorielles.
• Il impose un calendrier légal : 12 mois pour qu’ENISA développe un schéma candidat après demande de la Commission.
• Il clarifie que le mécanisme de certification est distinct du mécanisme de sécurité de la chaîne d’approvisionnement ICT : la certification reste volontaire, mais devient de facto obligatoire via les règles de marchés publics, les attentes du marché et les exigences nationales.

Le schéma cloud (EUCS) est explicitement relancé, adossé au futur Cloud and AI Development Act (CADA), qui doit imposer des exigences de souveraineté pour les services cloud et IA les plus critiques côté secteur public.

NIS 2 : simplification pour 28 700 entreprises

Le deuxième volet du Cybersecurity Package est une série d’amendements ciblés à la directive NIS 2, motivés par les retours d’expérience de la transposition nationale. Ces correctifs visent à réduire la charge administrative sans affaiblir le périmètre de sécurité :

• 28 700 entreprises sortent du champ d’application grâce à des clarifications de définitions, dont 6 200 micro et petites entreprises.
• Une nouvelle catégorie de petites entreprises à capitalisation moyenne réduit les coûts de conformité pour 22 500 sociétés supplémentaires.
• Les câbles sous-marins sont explicitement intégrés dans le périmètre de la directive, comblant un angle mort réglementaire alors que ces infrastructures deviennent des cibles stratégiques.
• Les procédures de supervision des entités transfrontalières sont simplifiées, avec un rôle de coordination renforcé pour ENISA.

Le contexte géopolitique qui a tout accéléré

Le CSA2 n’est pas né d’une lubie bureaucratique. Il est la réponse directe à une dégradation rapide du paysage des menaces que la Commission décrit sans euphémisme dans son exposé des motifs : sophistication croissante des cyberattaques contre les infrastructures critiques, implication d’acteurs étatiques dans des campagnes de déstabilisation, et dépendances technologiques stratégiques envers des pays tiers perçus comme hostiles.

La guerre en Ukraine a servi de catalyseur. Les cyberattaques russes contre les réseaux énergétiques et les infrastructures de communication ukrainiennes — et, par ricochet, européennes — ont démontré qu’une chaîne d’approvisionnement ICT n’est pas un problème technique, mais un levier stratégique. Un composant réseau dont le firmware peut être instrumenté à distance par un État tiers n’est pas un risque « potentiel » : c’est une capacité offensive prépositionnée.

Les tensions sino-américaines ont fourni le second moteur. Depuis 2019, Washington fait pression sur ses alliés pour bannir Huawei et ZTE de leurs réseaux. Le Royaume-Uni, l’Australie, le Canada et la Nouvelle-Zélande ont cédé. L’Europe est restée divisée : certains États membres ont banni les équipementiers chinois, d’autres ont temporisé, d’autres encore ont signé des contrats. Le CSA2 tranche en imposant une position commune, et il le fait au niveau du règlement — donc directement applicable, sans transposition nationale qui aurait rouvert la porte aux compromis.

Le verdict

Le CSA2 n’est pas une loi symbolique. C’est un outil de coercition économique et diplomatique qui transforme la souveraineté technologique européenne d’un slogan en un mécanisme juridique exécutoire. La question pour les opérateurs télécoms et les fournisseurs de services cloud n’est plus de savoir si ils devront auditer leurs chaînes d’approvisionnement : c’est quand, et à quel coût.

Pour les équipes de sécurité, trois actions concrètes à enclencher sans attendre l’adoption finale du texte, prévue courant 2026 après négociations au Parlement et au Conseil :

• Cartographier vos dépendances fournisseurs sur les actifs ICT critiques. Si vous opérez dans un des 18 secteurs NIS 2, vous serez concerné, même si vous ne touchez pas aux télécoms. Identifiez les composants dont le changement imposerait une refonte d’architecture.
• Anticiper la certification de posture cyber. Le futur schéma de certification organisationnelle sera un avantage compétitif, pas une contrainte subie. Commencez à documenter vos politiques de sécurité, vos processus de réponse aux incidents et votre maturité de gouvernance.
• Préparer vos clauses contractuelles. Les contrats avec les fournisseurs d’infrastructure doivent intégrer dès maintenant des clauses de réversibilité, de substitution et de transparence sur la chaîne de sous-traitance. Un fournisseur aujourd’hui acceptable peut être classé à risque demain.

Le CSA2 acte une rupture doctrinale : la sécurité d’un produit ICT ne se juge plus uniquement sur son code, mais sur la juridiction qui contrôle son fabricant.

Références

• Proposal for a Regulation for the EU Cybersecurity Act, Commission européenne, 20 janvier 2026.
• Cybersecurity Package — Questions & Answers, Commission européenne, 20 janvier 2026.
• EU plans cybersecurity overhaul to block foreign high-risk suppliers, BleepingComputer, 20 janvier 2026.
• EU outlines plans to phase out high risk vendors in network infrastructure, DataCenterDynamics, 22 janvier 2026.
• European Commission Proposes Cybersecurity Act 2: New EU Supply Chain Rules and Certification Reforms, Global Policy Watch (Covington), janvier 2026.
• EU Cybersecurity Act Proposal: Key Provisions, Scope, and Implications for Organisations, Bird & Bird, 27 janvier 2026.
• EU plans phase out of high risk telecom suppliers, in proposals seen as targeting China, AP News, janvier 2026.