Le 20 janvier 2026, la Commission européenne a présenté une révision de sa directive sur la cybersécurité datant de 2019, le Cybersecurity Act 2 (ou CSA2). L'objectif du CSA2 est de renforcer la résilience et la cybersécurité du continent, notamment via une certification officielle sur les produits et services technologiques utilisés au sein de l'Union européenne, une certification appelée ECCF (European cybersecurity certification framework). Sur le site Euractiv.fr, j'apprends que des opérateurs télécoms s'interrogent face au coût potentiel de l'abandon de certains équipements. 1. La révision de la directive européenne sur la cybersécurité (CSA2) comporte-t-elle un coût pour les opérateurs de télécommunications belges? 2. Si tel est le cas, à combien devrait se chiffrer ce coût?
B048
1. La loi relative aux mesures de sécurité pour la fourniture de services 5G publiée le 11 mars 2022 porte en partie sur les équipements et services pour la fourniture de services fixes au travers de l'obligation de disposer d'une autorisation préalable. La loi fédérale visait la mise en oeuvre intégrale de la recommandation de la CE (29 janvier 2020) "5G Security Toolbox". Ce qui a été recommandé en 2020 deviendra obligatoire avec le CSA2. Même si cette loi fédérale vise exclusivement les réseaux 5G, une partie des équipements est utilisée de manière indifférenciée pour des autres services mobiles comme 4G. Dès lors, il n'est pas attendu que l'application du projet de texte dans sa forme actuelle ait un impact sur les opérateurs en matière de services mobiles. En revanche, le texte actuel aurait potentiellement un impact au niveau des réseaux fournissant les services fixes. Ces impacts restent à l'heure actuelle à évaluer, notamment parce que les définitions des actifs visés (key assets) utilisées dans le projet de texte sont très sommaires et doivent être clarifiées (point soutenu par la plupart des États membres). Mentionnons que le projet actuel de texte du CSA2 prévoit des restrictions directement applicables aux opérateurs télécoms en dehors de l'obligation de certification. Les impacts opérationnel, commercial et financier sont différents d'un opérateur à un autre. 2. Cette question demande une analyse spécifique et doit toujours être prise avec précaution car soumises à une évaluation pas toujours objectivable du secteur et des conditions commerciales qui évoluent rapidement. L'Institut belge des services postaux et des télécommunications (IBPT) a lancé une telle analyse dont les résultats seront disponibles dans les mois à venir.