AVANT-PROPOS
Mesdames, Messieurs,
Comme toute technologie nouvelle, la 5G est porteuse de promesses. Celles-ci motivent le mouvement planétaire de « course à la 5G ». Mais cette nouvelle technologie apparaît également porteuse de risques, tant du fait de son architecture que des usages critiques qu'elle portera.
C'est pourquoi le Gouvernement entend renforcer le cadre applicable à la sécurité des réseaux dits « mobiles » en instaurant un régime d'autorisation préalable permettant au Premier ministre de s'assurer du caractère sécurisé de l'exploitation des équipements de ces réseaux par les opérateurs de communications électroniques d'importance vitale et, ainsi, de protéger les intérêts de la défense et de la sécurité nationale.
Si le rapporteur déplore la méthode adoptée par le Gouvernement dans la conduite des débats parlementaires, en particulier pour un texte d'une telle importance, il soutient globalement l'esprit de ce texte, qui fera de la France le premier pays européen à se doter d'un cadre juridique clair et propre à la sécurisation des réseaux 5G.
Cependant, le rapporteur est particulièrement sensible aux conséquences néfastes que pourrait avoir une approche excessivement sécuritaire pour notre pays, qui ralentirait le rythme de déploiement de ces futurs réseaux et en en renchérirait le coût, tout en faisant peser un risque sur l'accès des usagers aux réseaux déjà déployés. C'est pourquoi il a proposé à la commission des affaires économiques de procéder à un certain rééquilibrage du texte .
C'est donc dans un esprit constructif que le rapporteur a abordé ce texte et suggéré certaines améliorations.
EXPOSÉ GÉNÉRAL
La proposition de loi visant à préserver les intérêts de la défense et de la sécurité nationale de la France dans le cadre de l'exploitation des réseaux radioélectriques mobiles enregistrée à la Présidence de l'Assemblée nationale le 20 février 2019 a été transmise au Sénat le 11 avril dernier et renvoyée à la commission des affaires économiques. Elle fait l'objet d'une procédure accélérée.
Composée de trois articles, sa rédaction initiale reprenait, sans modification, le dispositif de l'amendement n° 874 1 ( * ) déposé par le Gouvernement au Sénat dans le cadre de l'examen en première lecture de ce qui était alors le projet de loi relatif à la croissance et la transformation des entreprises.
Alors qu'une démarche est engagée au niveau européen en vue d'harmoniser la réponse des États membres de l'Union européenne au défi que semble constituer la sécurité des réseaux 5G, cette proposition de loi entend fixer le cadre au niveau français.
I. LA 5G EST-ELLE RISQUÉE ?
A. UNE « COURSE À LA 5G » PORTEUSE DE PROMESSES ET DE RISQUES
1. La 5G promet un changement d'échelle dans les capacités des réseaux, permettant l'émergence de nouveaux usages
La cinquième génération de standards de télécommunications mobiles 2 ( * ) , appelée « 5G », est souvent désignée comme une « rupture technologique », pour plusieurs raisons.
Elle suscitera, d'abord, un changement d'échelle dans les capacités des réseaux 3 ( * ) . Elle promet un accroissement des débits (multipliés par dix), une réduction du temps de latence (divisé par dix), et une plus grande flexibilité des réseaux (permettant de concentrer les flux en fonction des besoins). Elle sera également plus fiable que les précédentes générations, offrira une connexion plus stable en mobilité, et permettra de connecter en temps réel de très nombreux objets. Elle sera, enfin, porteuse d'une plus grande efficacité énergétique.
Comparaison des performances de la 4G et de la 5G
Source : Arcep, Les enjeux de la 5G, mars 2017
Elle permettra, ensuite et surtout, le développement de nouveaux usages tant pour le grand public que pour les entreprises (généralement rassemblés derrière les termes « industrie du futur » ou « industrie 4.0 »). Même si la plupart de ceux-ci restent à identifier, sont souvent cités le développement de la réalité virtuelle et augmentée, de la vidéo ultra-haute définition, du véhicule connecté, de la télémédecine, de la robotique ou, plus largement, de l'internet des objets. De très nombreux secteurs d'activité seraient donc concernés : les industries lourdes, les transports sur route, les transports ferroviaires, l'énergie, mais aussi les médias ou la santé.
Grâce à ces nouveaux usages, d'importantes retombées économiques sont attendues de la 5G, tant pour les opérateurs eux-mêmes que pour les entreprises utilisatrices des réseaux. Selon une étude citée par la Commission européenne dans son plan d'action pour l'Europe en matière de 5G 4 ( * ) , les revenus issus de la 5G pour les seuls opérateurs de ces réseaux pourraient atteindre près de 250 milliards de dollars par an dans le monde en 2025 5 ( * ) . Il apparaît donc crucial de faire de la France un marché porteur pour la 5G afin de renforcer la compétitivité de nos opérateurs et des secteurs industriels utilisateurs .
Selon l'Arcep 6 ( * ) , ces progrès sont rendus possibles par plusieurs innovations qui permettent de répartir les capacités selon les besoins :
- les antennes actives 7 ( * ) - qui autorisent une meilleure efficacité spectrale et énergétique ;
- le « network slicing » - les réseaux seront configurés en « tranches » pour s'adapter à la demande de façon dynamique ;
- et l'utilisation, à terme, de bandes hautes (26 GHz) sur des petites cellules , pour des usages localisés avec une grande largeur spectrale et offrant des débits très élevés (théoriquement jusqu'à 10 gigabits par seconde) 8 ( * ) .
La flexibilité qu'apporte le « network slicing » est permise par une évolution majeure dans l'architecture des réseaux 5G déjà soulignée par le rapporteur pour avis de l'Assemblée nationale 9 ( * ) : l'accentuation de la virtualisation des réseaux , c'est-à-dire le remplacement d'équipements matériels par des logiciels sur un serveur distant afin de permettre des adaptations rapides du réseau 10 ( * ) .
Il s'agit en somme de passer d'une architecture passive et orientée sur la connectivité à des réseaux agiles et automatisés, conçus sur-mesure en fonction du besoin .
Mais ces promesses n'arriveront pas du jour au lendemain : la 5G se déploiera de façon progressive. Les premiers équipements spécifiques à la 5G qui seront déployés seront ceux assurant la desserte radioélectrique (« stations de base » 11 ( * ) ), le reste des réseaux s'appuyant sur la technologie 4G existante (« non stand-alone » 5G) avant que les « coeurs de réseaux » 12 ( * ) 5G ne deviennent totalement indépendants des équipements des précédentes générations (« stand alone » 5G). Il convient donc de distinguer, comme à chaque nouvelle génération, entre l'appellation 5G « commerciale », qui se déploiera dès 2020, et la « véritable » 5G, qui n'apparaîtra pas avant 2021 voire 2022.
|
La normalisation de la 5G Une nouvelle génération standardisée de connectivité des terminaux mobiles est définie par deux principaux acteurs : l'Union Internationale des Télécommunications (UIT) et le 3rd Generation Partnership Project (3GPP). L' UIT , qui est l'agence des Nations unies spécialisée dans les technologies de l'information et de la communication, réalise des études via son « Working Party 5D », son sous-groupe en charge de traiter les questions techniques relatives aux radiocommunications. Dès 2013, ce groupe a commencé à travailler sur la définition des caractéristiques d'un nouveau standard IMT ( International Mobile Telecommunications ), le standard IMT-2020. L'objectif de l'UIT-R est d'achever ses analyses pour 2020. En parallèle des travaux de l'UIT, des études sont menées par le 3GPP . Le 3GPP a été instauré en 1998 et regroupe sept organismes de standardisation, plusieurs centaines d'industriels, des associations et des organismes publics. Il s'occupe du développement et de la maintenance des spécifications techniques relatives aux normes de téléphonie mobile. Lorsqu'un nouveau standard est en cours de définition à l'UIT, le 3GPP travaille sur les solutions techniques qui permettent de répondre aux objectifs définis par l'UIT. La « release 15 », première norme 3GPP relative à la 5G, a d'abord été validée en décembre 2017 pour les premiers usages de la 5G dite « non stand-alone ». En juin 2018, elle a été complétée pour la 5G dite « stand alone ». Cette version devrait être complétée pour d'autres usages par la « release 16 » devrait être publiée début 2020. |
2. Les pouvoirs publics européens et français entendent rester dans la « course à la 5G »
En raison de ces promesses, la course est aujourd'hui lancée . Le premier lancement commercial a eu lieu aux États-Unis en octobre dernier sous l'égide de l'opérateur Verizon avec les équipementiers Nokia, Ericsson et Samsung, pour fournir du très haut débit radio en usage fixe 13 ( * ) . AT&T a commercialisé ses premiers services en décembre. En Corée du Sud, les opérateurs ont lancé une offre à destination des entreprises en décembre 2018 puis des offres grand public en avril 2019. Selon une étude récente 14 ( * ) , 170 opérateurs répartis dans 54 pays du monde auront lancé la 5G commercialement dès 2020.
S'agissant de l'attribution des fréquences , en mai 2019 15 ( * ) , six pays en Europe avaient déjà attribué des fréquences dédiées à la 5G 16 ( * ) . Douze autres avaient attribué des fréquences utilisables en 5G 17 ( * ) . Le processus d'enchères des fréquences 5G vient de se terminer en Allemagne. Treize autres pays d'Europe, dont le nôtre, ont annoncé des enchères 5G entre mi 2019 et fin 2020.
L'Union européenne est particulièrement mobilisée sur ce sujet. Dès septembre 2016, la Commission européenne a publié un plan d'action pour la 5G en Europe . Il détermine deux objectifs de couverture communs à l'ensemble des États membres : connecter au moins une grande ville en 5G en 2020 et fournir une couverture 5G ininterrompue dans toutes les zones urbaines et les principaux axes de transport terrestre pour 2025 . Le calendrier d'attribution des « bandes coeur » de la 5G (3,4-3,8 GHz et 24,25-27,5 GHz) est, en outre, coordonné au niveau européen : en application du « code européen des communications électroniques », elles doivent être attribuées avant le 31 décembre 2020 18 ( * ) .
S'agissant de notre pays, l'enjeu est de ne pas commettre les erreurs du passé : la France a débuté le déploiement de la 4G avec trois ans de retard sur les États-Unis et la Corée du Sud. C'est ce précédent et les promesses de la 5G qui ont justifié l'adoption, en juillet dernier 19 ( * ) , par le Gouvernement, d'une feuille de route destinée à faciliter le développement et le déploiement de la 5G, coordonnée avec le programme de travail de l'Autorité de régulation des communications électroniques et des postes (Arcep).
|
Les objectifs et chantiers de la feuille de route du Gouvernement On peut résumer les objectifs et chantiers de cette feuille de route selon les points suivants : - lancer plusieurs pilotes 5G sur une variété de territoires et accueillir des premières mondiales d'application de la 5G dans les domaines industriels ; - libérer et attribuer de nouvelles fréquences 5G ; - avoir un déploiement commercial dans au moins une grande ville dès 2020 et couvrir les principaux axes de transport en 5G d'ici 2025 ; - favoriser le développement de nouveaux usages industriels ; - assurer la transparence et le dialogue sur les déploiements de la 5G et l'exposition du public. |
Le 10 mai dernier, le Gouvernement a adressé au régulateur les objectifs qu'il lui reviendrait de poursuivre dans l'élaboration du cahier des charges pour l'attribution de la première bande de fréquences identifiée comme pertinente pour la couverture du territoire métropolitain (3,4-3,8 GHz), dont l'attribution est prévue pour la fin de l'année pour un déploiement dès 2020. Quatre préoccupations devront être prises en compte : tout en reprenant les objectifs figurant dans la feuille de route à échéance 2020 et 2025, le Gouvernement souhaite s'assurer que tous les territoires bénéficient les services de la 5G, il entend également que l'émergence d'offres répondant aux besoins des « verticaux » 20 ( * ) soit garantie, ainsi que la préservation de la concurrence sur le marché. L'État indique vouloir « valoriser au mieux ce patrimoine » et fixera un prix de réserve d'ici l'été. La libération et l'attribution de la bande de fréquence 26 GHz devraient intervenir pour fin 2020.
Le rapporteur se satisfait de constater que la couverture numérique de l'ensemble du territoire est identifiée comme l'une des priorités. Il conviendrait de poursuivre également la logique du « New Deal » appliquée au déploiement des réseaux 4G en n'exigeant pas de redevances disproportionnées et en fixant des objectifs ambitieux aux opérateurs.
De nombreuses expérimentations sur la 5G sont déjà en cours sur le territoire métropolitain. Elles ont débuté dès l'année 2018 21 ( * ) .
Carte des expérimentations en 5G en France métropolitaine en mai 2019
Source : site internet de l'Arcep
Dans sa feuille de route pour la 5G, le Gouvernement prévenait cependant que « les changements technologiques de la 5G, combinés aux menaces cybersécuritaires qui se posent avec acuité, amèneront à rechercher des exigences élevées de niveau de sécurité ». Cette feuille de route annonçait qu'« une réflexion sera(it) conduite sur les impacts des nouvelles technologies et l'adaptation de la réglementation qui les encadre, avec la mobilisation de l'Agence nationale de la sécurité des systèmes d'information (Anssi) ».
3. Elle semble cependant porteuse de risques à ne pas négliger
De façon générale, les réseaux de communications électroniques doivent être autant que possible protégés des risques suivants :
- le risque classique d' espionnage ;
- celui de subversion des informations traitées ;
- celui du dysfonctionnement du réseau, par une interruption du fonctionnement des équipements concernés ou un comportement anormal perturbant le réseau - de tels dysfonctionnements pourraient résulter d'une panne, mais également s'inscrire dans une logique de sabotage ;
- celui de l'utilisation des équipements du réseau pour procéder à l'attaque informatique d'autres équipements numériques : un attaquant ayant pris le contrôle d'un équipement au sein du réseau d'un opérateur pourrait se servir de celui-ci comme relais pour injecter des logiciels malveillants dans les flux transitant par cet équipement, et infecter les systèmes d'information de ses clients.
Plusieurs éléments liés à l'architecture des réseaux de la 5G sont généralement présentés comme porteurs de vulnérabilités particulières, qui accroissent les risques et génèrent une plus grande complexité à les maîtriser .
Selon le Gouvernement, la virtualisation accrue des réseaux les rendra plus vulnérables en créant de nouveaux risques d'erreur de configuration. Elle pourrait également modifier, à terme, la répartition des responsabilités entre les opérateurs (qui pourraient devenir de simples distributeurs de réseaux) et les équipementiers (qui pourraient, dans les faits, être conduits à opérer les réseaux pour le compte des opérateurs 22 ( * ) ). Les opérateurs contestent cette hypothèse.
De façon plus générale, le Gouvernement estime que la 5G pourrait donner lieu à davantage d'opérations de sous-traitance . Elle pourrait concerner la définition et la mise en oeuvre des choix initiaux de déploiement (prestataires intégrateurs), mais également l'exploitation des équipements (prestataires d'infogérance, voire d'hébergement). Le Gouvernement estime qu'un tel recours à la sous-traitance est porteur de risques, tant du fait de la possible méconnaissance des obligations de sécurité s'imposant aux opérateurs par les prestataires concernés qu'en raison de la potentielle soumission de ces derniers à des formes d'ingérence.
En conséquence, il estime que ces évolutions nécessitent une approche globale de la cybersécurité de l'ensemble du réseau alors qu'il suffisait auparavant de s'assurer qu'un équipement utilisé était sécurisé.
Le passage d'une architecture avec un « coeur de réseau » qui constitue le secteur le plus critique à une architecture avec une vulnérabilité distribuée participe également à l'apparition de nouveaux risques. Une part importante des fonctions sophistiquées de traitement des flux, jusqu'alors assurées par ces « coeurs de réseau », seront en effet intégrées aux stations de base, augmentant significativement le caractère sensible de ces équipements. Les opérateurs contestent cependant la nouveauté de ce risque, considérant que ces évolutions sont déjà en cours dans le cadre de la 4G et que si la 5G est un élément facilitateur, elle n'en est pas pour autant l'élément déclencheur.
Au-delà de l'architecture des réseaux 5G, c'est également la criticité de ses nouveaux usages pour la sécurité des biens et des personnes (objets connectés) ou la continuité de l'action de l'État (réseaux régaliens de la sécurité intérieure ou civile). On imagine l'ampleur des conséquences en cas de panne d'un réseau permettant aux véhicules connectés de circuler en toute sécurité... Le directeur général de l'Anssi, Guillaume Poupard, estime ainsi que « les réseaux 5G seront aussi sensibles que les réseaux électriques ». En France, le rapporteur pour avis de l'Assemblée nationale avait également souligné « l'usage croissant des réseaux civils par les forces armées sur le territoire national » qui concourent sans nul doute au besoin de renforcement de sécurité de ces réseaux - dans sa contribution écrite, la Fédération française des télécoms semble d'ailleurs estimer que ce point constitue la principale motivation de l'État pour faire adopter la présente proposition de loi. Au-delà, les opérateurs soulignent que les équipements nécessaires à l'émergence d'usage aussi critiques ne seront pas déployés avant 2024-2027.
Au-delà des caractéristiques propres à la 5G, les regards se portent depuis quelques temps sur un équipementier en particulier.
* 1 http://www.senat.fr/amendements/2018-2019/255/Amdt_874.html.
* 2 Après la norme R 2000 pour la 1G, la norme GSM pour la 2G (puis GPRS et EDGE), la norme UMTS pour la 3G (puis HSPA et HSPA +) et, enfin, la norme LTE pour la 4G (puis LTE advanced pour la 4G+).
* 3 Sur ce sujet, le lecteur pourra utilement se référer aux travaux de l'Office parlementaire d'évaluation des choix scientifiques et techniques, consignés dans un rapport d'information de Pierre Henriet et Gérard Longuet, intitulé « Perspectives technologiques ouvertes par la 5G » publié en décembre 2018.
* 4 Publié le 14 septembre 2016.
* 5 https://www.abiresearch.com/press/abi-research-projects-5g-worldwide-service-revenue/.
* 6 Arcep, Les enjeux de la 5G, mars 2017 ; Arcep, programme de travail 5G, juillet 2018.
* 7 Jusqu'à la 4G, il n'y avait qu'un seul lobe d'antenne pour tous les terminaux d'une cellule. Dans les réseaux 5G, les lobes des antennes deviennent dynamiques et personnalisés à chaque instant vers chaque terminal de la cellule, on parle de formation de faisceau ou « beamforming » en anglais.
* 8 Les fréquences supérieures à 6 GHz, appelées « bandes millimétriques », n'ont jusqu'ici jamais été prises en compte pour le déploiement des réseaux mobiles. Ces fréquences ne seront attribuées que dans un second temps : la procédure d'attribution à venir cette année ne concerne que la seule la bande de fréquence des 3,5 GHz.
* 9 Rapport pour avis de Thomas Gassilloud, fait au nom de la commission de la défense nationale et des forces armées enregistré à la présidence de l'Assemblée nationale le 2 avril 2019.
* 10 Pour une analyse des techniques liées à cette virtualisation, voir les pages 18 et suivantes du rapport précité de l'Arcep de mars 2017.
* 11 Selon le glossaire de l'AVICCA, une station de base est un équipement actif de type émetteur/récepteur qui assure la communication entre un appareil mobile et le réseau et qui fournit un point d'entrée dans le réseau aux abonnés présents dans sa cellule pour recevoir ou transmettre des appels, des données. Elle est quasi-systématiquement située sur un point haut dominant la zone qu'elle est destinée à couvrir.
* 12 Les équipements du « coeur de réseau » recouvrent notamment les équipements de transmission et de commutation d'un réseau, par opposition aux stations de bases situées en « bord de réseau ».
* 13 Cet usage est donc similaire à celui déjà commercialisé dans le cadre des solutions « 4G fixe ».
* 14 GSMA Intelligence, « Global 5G Landscape Q1 2019 », avril 2019.
* 15 Source : GSA Research, Spectrum for Terrestrial 5G Networks: Licensing Developments Worldwide », rapport, 14 mai 2019.
* 16 La Finlande, l'Italie, l'Irlande, la Lituanie, l'Espagne et le Royaume-Uni.
* 17 L'Albanie, l'Autriche, la Croatie, la République tchèque, le Danemark, l'Allemagne, la Grèce, la Norvège, la Slovaquie, l'Espagne, la Suède et la Suisse.
* 18 Article 54 de la directive (UE) 2018/1972 du Parlement européen et du Conseil du 11 décembre 2018 établissant le code des communications électroniques européen (refonte).
* 19 Le Gouvernement était en retard sur le calendrier fixé au niveau européen par le plan d'action pour la 5G en Europe qui appelait les États membres à adopter leurs feuilles de route fin 2017 au plus tard.
* 20 Ce terme désigne généralement les entreprises actives dans des secteurs d'activités particuliers, autres que celui des télécoms (comme les trains, les routes ou les réseaux électriques), et qui pourraient souhaiter exploiter leurs propres réseaux.
* 21 Le communiqué de presse en date du 16 juillet 2018 annonçant la feuille de route du Gouvernement évoquait des expérimentations déjà en cours.
* 22 Selon le Gouvernement, les principaux équipementiers proposent d'ores et déjà des offres d'hébergement et d'opération d'un « coeur de réseau » au profit d'un opérateur - qui visent à ce stade plutôt des opérateurs de petite taille ou très spécialisés, mais pourrait à terme être attractives pour les principaux opérateurs.