Rapport explicatif

33.501 qui vont au-delà de la 4G ne peuvent pas être techniquement mises en œuvre avant l'introduction de la 5G autonome (Stand Alone).

Art. 96e Gestion de la sécurité

L’infrastructure de téléphonie mobile 5G ainsi que l’information générée et traitée par cette dernière sont des biens importants qui nécessitent d’être gérés de manière consciencieuse afin d’assurer la fiabilité et la dispo- nibilité des services.

L’al. 1 impose dorénavant aux concessionnaires de radiocommunication mobile de développer, mettre en œuvre et de réexaminer continuellement un système de gestion de la sécurité de l’information (SGSI) à l’in- star de ce que la plupart d’entre eux ont d’ores et déjà concrétisé.

La mise en œuvre d’un SGSI requiert une phase de planification durant laquelle les risques encourus par l’organisation concernée sont identifiés et évalués. Cette première phase permet de définir ensuite une poli- tique de sécurité qui tient compte des risques à considérer, puis de décrire les objectifs à atteindre en mati- ère de sécurité ainsi que le périmètre à sécuriser. Sur cette base, l’organisation déterminera finalement les contrôles correspondant à sa politique de sécurité et aux risques contre lesquels elle a choisi de se prému- nir.

Pour le secteur des technologies de l'information et de la communication, des SGSI ont été développés sous forme de normes. Il s’agit notamment de la série de normes ISO/IEC 2700x (ISO/IEC 27001:2005 Informa- tion technology - Security techniques - Information security management systems – Requirements; ISO/IEC 27002:2005 Information technology – Code of pratice for Information Security Management; ISO/IEC

27011:2008 Information technology - Security techniques - Information security management guidelines for telecommunications organizations based on ISO/IEC 27002) auxquelles il est prévu de se référer dans les prescriptions techniques et administratives en vertu de l’al. 3.

Ces normes couvrent notamment les aspects de la sécurité physique, de la gestion des accès et de la sé- curité des logiciels. Bien que la gestion de la continuité opérationnelle ainsi que la gestion des incidents de sécurité soient d‘habitude également comprises dans des SGSI tels que ceux décrits dans les normes ISO/IEC 2700x, ces aspects sont tout de même mentionnés à l’al. 2 puisqu’il s’agit d’éléments qu’il convient impérativement de prendre en compte lorsqu’il s’agit de fournir des services au grand public. Pour préciser les exigences en matière de gestion de la continuité et des incidents, il est prévu de faire référence à la norme ISO 22301:2019 Security and resilience — Business continuity management systems — Require- ments dans les prescriptions techniques et administratives.

Un SGSI s’adresse aux directions d’entreprise, aux collaborateurs responsables de la sécurité ainsi qu’à des évaluateurs externes. Une évaluation indépendante effectuée par un organisme de certification accrédité peut en effet conduire à une certification reconnue démontrant la capacité de la société en question à maîtri- ser la gestion de la sécurité. Il n’est pour l’heure pas prévu d’imposer une telle certification aux concession- naires de radiocommunication mobile. Dans le cadre de la surveillance, l’OFCOM pourra toutefois exiger la remise, par le concessionnaire, d’informations relatives à la mise en œuvre du SGSI (cf. art. 96g).

L’élaboration d’un SGSI est influencée par les objectifs, les besoins, les exigences ainsi que les risques liés aux activités de l’organisation considérée. Elle dépend par ailleurs des technologies utilisées, de la clientèle, de même que de la grandeur et de la structure de l’organisation. Toute évolution de ces critères doit provo- quer une adaptation du système de gestion de la sécurité. L’effort à consentir pour la mise en œuvre d’un SGSI est donc directement lié à l’organisation et aux services proposés.

Art. 96f Exploitation des installations de télécommunication critiques

Les concessionnaires de radiocommunication mobile devront veiller à ce que les installations de télécommu- nication critiques du point de vue de la sécurité qu’ils exploitent soient certifiées conformes aux normes reconnues en matière de sécurité. L’OFCOM définira les installations de télécommunication critiques du point de vue de la sécurité, en collaboration avec l’industrie si nécessaire. La liste des installations critiques sera énumérée dans les prescriptions techniques et administratives correspondantes.

Au niveau européen, et suite à une demande de la Commission Européenne, l'ENISA (European Union Agency for Cybersecurity) va procéder à la préparation d’un nouveau schéma de certification cybersécurité de la 5G. Cette étape fait suite à la boîte à outils développée par l'Union Européenne concernant la sécurité des réseaux 5G (Toolbox 5G). Elle devrait permettre d'améliorer la cybersécurité de ce type de réseaux, car elle contribue à éliminer certains risques.

A cet effet, ce schéma de certification cybersécurité sur la 5G sera fondé sur des dispositions déjà disponib- les et sur des systèmes de certification cybersécurité existants ainsi que sur l'expérience déjà acquise par ENISA depuis qu’elle a commencé à s'engager dans la certification sur la cybersécurité. Ce programme est