Rapport explicatif

Entre fin mars et mi-mai 2021, l'OFCOM a mené auprès de ceux-ci une enquête sur les mesures techniques de la Toolbox 5G qu'ils ont prises ou prévues, ainsi que sur leurs coûts.

Les résultats ont montré que les fournisseurs attachent une grande importance à la norme ISO 27001 pour leurs systèmes de gestion de la sécurité de l'information (SGSI). Les exigences spécifiées dans les prescrip- tions techniques et administratives doivent également se référer à ces normes et à des normes comparab- les. Pour les concessionnaires, il ne faut donc pas s'attendre à des changements ni à des coûts majeurs par rapport à la situation actuelle.

Les résultats ont également montré que les concessionnaires de radiocommunication soutiennent la certifi- cation des éléments de réseau et demandent que leurs fournisseurs soient aussi soumis à certaines exi- gences de sécurité. Ils donnent la priorité aux normes internationales, en premier lieu au GSMA NESAS. La réglementation dans ce domaine n'entraînerait vraisemblablement pas de coûts supplémentaires importants. L'obligation d'exploiter les centres des opérations du réseau et de gestion de la sécurité en Suisse, dans l'Espace économique européen ou en Grande-Bretagne est déjà remplie.

Les concessionnaires de radiocommunication mobile ont décrit de manière plus ou moins détaillée les mesures qu'ils ont prises. Souvent, ils ont fourni peu d'informations, ou n'en ont pas fourni du tout, sur les coûts spécifiques associés aux mesures. Par conséquent, seules des considérations qualitatives sur les coûts peuvent être données.

Les concessionnaires de radiocommunication mobile sont aussi susceptibles d'encourir des coûts liés à d'éventuelles obligations de se soumettre à un audit. Toutefois, en particulier si le niveau de conformité aux normes pertinentes est élevé, les audits devraient être peu fréquents; en effet, le concessionnaire ne peut être obligé de procéder à ses frais à un audit que dans le cadre de l'art. 58, al. 2, LTC, lorsqu'il est présumé que le concessionnaire ne respecte pas les exigences des art. 96^eet 96f et que l'OFCOM n'est pas en mesure d'établir lui-même les faits. Les coûts d'un audit individuel dépendent de l'étendue de l'examen. Se- lon les estimations, dans la plupart des cas, il devrait s'agir d'un montant à cinq chiffres³⁷,

Le bénéfice pour l'économie résulte de l'évitement des coûts que les ménages, les entreprises et les autres groupes sociaux pourraient encourir en cas de risques liés à la sécurité des réseaux 5G. Par exemple, les pannes dans la couverture des communications mobiles ont des conséquences potentiellement graves. La radiocommunication mobile³⁸ joue un rôle de plus en plus important auprès des internautes³⁹ et des entrepri- ses⁴⁰. Dans son dossier sur les dangers "Panne d'un réseau de téléphonie mobile", l'OFPP calcule qu'une panne totale de trois jours chez un grand opérateur mobile entraînerait des pertes globales de l'ordre de neuf milliards de francs suisses. Toutefois, une telle panne très improbable⁴¹, mais à ne pas négliger vu l'ampleur des dommages mentionnés, n'est qu'une conséquence possible. Des lacunes sécuritaires dans l'exploitation et l'infrastructure des réseaux mobiles 5G peuvent ouvrir la voie à toutes sortes de cybe- rattaques sur les données et les applications basées sur la 5G, comme le vol de données et le chantage. Une étude relativement récente sur les petites et moyennes entreprises (PME) montre qu'un quart des PME suisses interrogées ont déjà été victimes d'une cyberattaque, dont un tiers ont subi un préjudice financier et, dans une moindre mesure, une perte de données clients et/ou une atteinte à leur réputation⁴². Une étude autrichienne montre que, même dans une période de pandémie économiquement difficile, près des trois quarts des entreprises interrogées ont augmenté leur budget pour la cybersécurité⁴³.

Comme décrit, cependant, ces conséquences potentielles bénéfiques pour l'économie sont indirectes. En outre, la probabilité d'une panne, par exemple, peut difficilement être imputée à des mesures de sécurité