Rapport explicatif

en cours et un appel à la recherche d’experts a été lancé au début de l’été 2021. Dès que ce schéma de cer- tification sera existant pour la 5G, l’OFCOM va étudier les possibilités de l’utiliser.

Cependant, il existe déjà d’autres normes reconnues dans ce domaine, comme celles prescrites par GSMA NESAS (Network Equipment Security Assurance Scheme³⁵). GSMA NESAS est une initiative volontaire de l'industrie de la téléphonie mobile visant à lancer un programme d'amélioration continue de la sécurité pour les équipements et infrastructures des réseaux mobiles. GSMA NESAS couvre les équipements qui pren- nent en charge les fonctions définies par 3GPP et déployées par les opérateurs mobiles dans leurs réseaux. GSMA NESAS élabore des normes de sécurité et des certifications qui sont reconnues à large échelle au niveau mondial et auxquelles participe l'ensemble du secteur des télécommunications. Ce dernier a une grande confiance dans ces spécifications GSMA NESAS, ce qui garantit de ne pas ralentir les progrès tech- niques. À noter que GSMA NESAS ne couvre pas l'expédition et le déploiement des équipements de réseau, ni la configuration et l'exploitation des équipements de réseaux mobiles.

La GSMA a développé les exigences et les processus de sécurité pour NESAS en collaboration avec 3GPP, les opérateurs et les vendeurs d’équipements. La GSMA tient à jour une liste des fournisseurs d'équipe- ments qui participent au programme et qui ont fait l'objet d'une évaluation de la sécurité de leurs processus de développement et de cycle de vie, ainsi que d'une évaluation de la sécurité de leurs produits réseau.

Dans sa version actuelle, GSMA NESAS comprend les éléments nécessaires à l'élaboration d'un système de certification. Dans le cadre de la conception d'un système de certification, GSMA NESAS définit :

- La nomination d'une organisation d'audit ;

- L’accréditation des laboratoires de test ;

- Les exigences de sécurité liées aux processus du fournisseur et aux produits de réseau, et les méthodes d'évaluation des processus des fournisseurs et des produits.

Certains fournisseurs d'équipements de réseaux mobiles (notamment chinois) ont fait l'objet d'une évaluation et d'un audit indépendant (laboratoires de tests certifiés par GSMA NESAS) de leurs processus de dévelop- pement et de cycle de vie de certains produits. Ceci afin de démontrer comment la sécurité était intégrée dans leurs processus de conception, de développement, de mise en œuvre et de maintenance (par exemple pour les lignes de produits 5G gNodeB qui sont des stations de base).

Malgré les possibilités croissantes de virtualisation des réseaux mobiles, la présence physique des infra- structures et des installations sur place ou dans des pays avec des mesures de sécurité comparables re- présente toujours un avantage considérable en matière de sécurité. En ce sens, l'al. 2 de la disposition prévoit que les concessionnaires de radiocommunication mobile doivent avoir leurs centres des opérations du réseau et de gestion de la sécurité en Suisse, dans l'Espace économique européen ou au Royaume-Uni. Selon l'art. XIV^bis, al. 1, let. b, de l'annexe 1B de l'Accord instituant l'Organisation mondiale du commerce (Accord général sur le commerce des services, GATS), ses dispositions n'empêchent pas un membre de prendre toutes mesures qu'il estimera nécessaires à la protection des intérêts essentiels de sa sécurité. Une partie de la doctrine estime que la cybersécurité pourrait tomber dans le champ d'application de cette dispo- sition.

L'Union européenne semble aussi partir de ce principe. Il ressort ainsi du rapport du « NIS Cooperation Group » (représentants des Etats membres, de la Commission européenne et de l'ENISA), consacré aux progrès accomplis dans la mise en œuvre de la Toolbox de l'UE pour la sécurité des réseaux 5G, que 16 des 26 Etats membres évoqués dans le rapport ont déjà garanti ou le feront encore en 2021 que les opéra- teurs de radiocommunication mobile exploitent leurs centres des opérations du réseau et de gestion de la sécurité sur place, dans le pays et/ou dans l'UE (Report on Member States’ progress in implementing the EU Toolbox on 5G Cybersecurity | Shaping Europe’s digital future; publié le 24 juillet 2020; dernière mise à jour: 8 mars 2021).

La Toolbox propose également des interventions plus poussées, entre autres l’exclusion totale de certains acteurs des activités sur le territoire des Etats membres, et part manifestement du principe que ces interven- tions seraient également couvertes par le droit de l'Organisation mondiale du commerce.

Art. 96g Prescriptions applicables et surveillance

Les art. 96e et 96f renvoyant aux normes reconnues en matière de sécurité, il incombe à l'OFCOM de désig- ner dans ses prescriptions techniques et administratives les normes applicables de manière contraignante (al. 1). La preuve de la conformité à ces normes peut être apportée par les fournisseurs concernés au

moyen d'une certification par un organisme compétent dans le cadre du système suisse de l'accréditation (voir ordonnance du 17 juin 1996 sur l'accréditation et la désignation; RS 946.512) ou dans le cadre d'autres