La Commission européenne avait proposé de retirer des réseaux mobiles les composants des fournisseurs à haut risque dans un délai maximal de 36 mois.
Un projet de position des États membres abandonne ce compte à rebours uniforme au profit d’un calendrier lié aux risques et aux solutions disponibles.
Les 40 milliards d’euros avancés par les opérateurs éclairent le coût de cette dépendance, mais ne suffisent pas à dire quelle durée est nécessaire pour réduire le risque.
Le Conseil assouplit le délai, pas le diagnostic
Le 20 janvier 2026, la Commission européenne a proposé de réviser le Cybersecurity Act. Son texte prévoit que les composants de fournisseurs à haut risque utilisés dans les actifs clés des réseaux mobiles soient retirés dans un délai maximal de 36 mois à compter de la publication de la liste des fournisseurs concernés. C’est une proposition législative, pas encore une règle en vigueur. Le texte de la Commission
Un document de négociation daté du 22 septembre, consulté par Reuters, retire ce délai fixe. Il propose de moduler la période de retrait selon le niveau de risque, la durée de vie des équipements, les cycles de remplacement, l’interopérabilité et la disponibilité d’alternatives. La position n’est pas définitive : le Conseil et le Parlement européen doivent encore négocier le texte. Reuters rapporte le contenu du projet.
Le changement concerne donc le rythme de la sortie, pas l’évaluation européenne des risques. En 2023, la Commission a estimé que Huawei et ZTE présentaient des risques « sensiblement plus élevés » que les autres fournisseurs 5G. Cette appréciation porte sur le risque associé aux fournisseurs ; elle ne constitue pas, à elle seule, l’attribution publique d’une attaque précise à l’une de ces entreprises. Huawei conteste que ses équipements présentent un risque particulier. La communication de la Commission sur la boîte à outils 5G
Les 40 milliards sont une estimation des opérateurs
Le 15 septembre, Connect Europe a publié une lettre signée par 17 dirigeants de télécoms, dont ceux d’Orange, Deutsche Telekom et Telefónica. L’association avance que le remplacement des équipements concernés pourrait coûter jusqu’à 40 milliards d’euros. Elle indique aussi que les opérateurs européens investissent 64 milliards d’euros par an et soutient qu’un retrait imposé mobiliserait des moyens destinés à la fibre, à la 5G et à la 6G. La lettre de Connect Europe
Ce chiffre est une estimation du secteur, pas un devis indépendant ni une facture déjà engagée. Il faut le lire comme un plafond avancé par les signataires pour défendre un calendrier plus souple. Il rappelle toutefois que la sortie implique plus que l’achat de nouveaux équipements : il faut planifier les interventions, intégrer les solutions de remplacement, assurer la continuité du service et maintenir des équipes capables d’exploiter une architecture modifiée.
La comparaison entre les 40 milliards possibles et les 64 milliards d’investissements annuels demande aussi de la prudence : le premier montant est une estimation de coûts de remplacement, le second un chiffre annuel avancé par l’association. Ils n’ont ni le même périmètre ni la même temporalité. La lettre des opérateurs souligne le risque de détourner des investissements ; elle ne démontre pas que chaque euro consacré au remplacement réduirait automatiquement d’autant les investissements futurs.
La dépendance se trouve dans l’ensemble du réseau
Un fournisseur d’équipements mobiles s’inscrit dans une architecture faite de matériel, de logiciels, de mises à jour, de maintenance et de procédures d’exploitation. Les contrats, les pièces de rechange et les compétences des équipes comptent aussi. Quand un opérateur veut remplacer un fournisseur, il doit donc adapter plusieurs éléments liés entre eux, et pas seulement changer des antennes.
La nouvelle boîte à outils européenne pour la sécurité des chaînes d’approvisionnement des technologies de l’information et de la communication (TIC), publiée en février 2026, adopte une approche commune pour identifier et réduire ces risques, notamment les dépendances envers des fournisseurs à haut risque. La Commission européenne présente la boîte à outils
Cette dépendance est aussi une question de contrôle : qui peut maintenir le réseau, décider d’une mise à jour ou remplacer une pièce critique ? Notre article sur le pouvoir de contrôle dans la souveraineté numérique examine cette question à travers d’autres infrastructures et services.
Sortir d’une dépendance peut en créer une autre
Un retrait rapide peut réduire une exposition à un fournisseur jugé à haut risque. Mais si les équipements de remplacement ne sont pas disponibles à temps, ou si leur intégration est difficile, l’opérateur peut devoir repousser d’autres travaux ou concentrer ses achats auprès d’un nombre plus restreint de fournisseurs. C’est un risque à évaluer, pas une conséquence automatique.
C’est pourquoi le calendrier proposé par les États membres retient l’interopérabilité et l’existence d’alternatives parmi ses critères. Remplacer un fournisseur ne renforce la résilience que si les nouvelles solutions peuvent être maintenues, intégrées et substituées à leur tour. La protection des câbles sous-marins européens montre, dans un autre domaine, que sécuriser une infrastructure ne suffit pas si les capacités de réparation et d’approvisionnement restent limitées.
La souveraineté se mesure à la capacité de remplacer
Les 40 milliards d’euros n’indiquent ni que l’Europe doit renoncer au retrait, ni qu’elle peut l’imposer partout au même rythme. Ils signalent le prix d’une dépendance installée : au moment de l’achat, une solution peut sembler compétitive et performante ; des années plus tard, son remplacement dépend de la structure du réseau, des compétences disponibles et des alternatives réellement prêtes.
L’Europe devra donc associer une réduction effective du risque à un calendrier vérifiable, qui tient compte des équipements concernés et de la capacité à les remplacer. Cette affaire résume un enjeu central de la #géopolitiquedunumérique : une dépendance devient un levier de puissance lorsque le coût du départ limite les choix du client. La souveraineté s’éprouvera lorsqu’un opérateur devra interrompre le soutien d’un fournisseur en période de crise et maintenir le service avec des équipements substituables, des équipes formées et un délai de bascule mesuré. Cette lecture rejoint l’analyse de la résilience opérationnelle publiée après le colloque Souveraine Tech.
Sources
- Reuters, « European telcos may get more time to phase out high-risk suppliers under EU proposal », 29 septembre 2026,
article Reuters ; copie syndiquée sur MarketScreener.
Le compte rendu décrit le projet de position du 22 septembre et les critères proposés. - Commission européenne, « Proposal for a Regulation for the EU Cybersecurity Act », 20 janvier 2026,
EUR-Lex, COM(2026) 11.
Le texte établit le délai maximal de 36 mois proposé pour le retrait des composants concernés des réseaux mobiles. - Commission européenne, « Communication de la Commission intitulée Mise en œuvre de la boîte à outils 5G en matière de cybersécurité », 15 juin 2023,
texte officiel.
La communication présente l’évaluation européenne des risques associés à Huawei et ZTE. - Connect Europe, « Correcting the course to support European Tech Leadership », 15 septembre 2026,
lettre des dirigeants.
La lettre expose l’estimation sectorielle de 40 milliards d’euros et le chiffre de 64 milliards d’investissements annuels. - Commission européenne, « Toolbox to improve ICT supply chain security », 13 février 2026,
boîte à outils européenne.
Le document établit l’approche commune de l’UE pour évaluer les risques des chaînes d’approvisionnement TIC.
Maillage interne
- Souveraineté numérique : où se situe réellement le pouvoir de contrôle ? pour complèter l’analyse du contrôle et de la capacité à remplacer un fournisseur.
- Câbles sous-marins : l’Europe protège-t-elle vraiment son système nerveux ? pour élargir la réflexion aux dépendances d’approvisionnement et aux capacités de réparation des infrastructures.
- Souveraine Tech à Saint-Malo, la résilience se mesure à l’épreuve de la rupture pour approfondir la résilience opérationnelle et la substituabilité en situation de crise.
Définitions
- 5G : cinquième génération de réseaux mobiles, utilisée pour fournir des services de connectivité à haut débit et à faible latence.
- TIC : technologies de l’information et de la communication ; elles comprennent notamment les équipements, logiciels et services qui composent les infrastructures numériques.
- Cybersecurity Act : règlement européen de cybersécurité adopté en 2019 ; le texte proposé en 2026 vise à le réviser et à encadrer les risques de la chaîne d’approvisionnement TIC.
- Huawei : groupe chinois qui fournit notamment des équipements de télécommunications mobiles.
- ZTE : entreprise chinoise qui fournit des équipements et services de télécommunications.
- Connect Europe : association professionnelle européenne du secteur des télécommunications, à l’origine de la lettre du 15 septembre 2026.
- Interopérabilité : capacité de matériels et de logiciels différents à fonctionner ensemble au sein d’un réseau.