Royaume-Uni : des fournisseurs tech pourront être bannis sans être nommés

Des amendements gouvernementaux publiés le 24 août 2026 permettraient au Royaume-Uni d’obliger une organisation essentielle à cesser d’utiliser les produits ou services d’un fournisseur technologique, sans nécessairement révéler l’identité de celui-ci. L’enquête de The Record indique aussi que le destinataire pourrait être empêché de parler publiquement de l’instruction.

Ces pouvoirs ne sont pas encore en vigueur. Le 28 août, le Parlement britannique a confirmé que l’examen détaillé du Cyber Security and Resilience (Network and Information Systems) Bill commencerait à la Chambre des lords le 1er septembre. Le texte peut donc encore être modifié avant une éventuelle adoption.

Ce qu’une instruction pourrait imposer

Le mécanisme proposé est appelé vendor-related direction, une instruction relative à un fournisseur. Il ne bannirait pas nécessairement ce dernier de tout le marché britannique : le gouvernement agirait sur les organisations qui utilisent sa technologie dans des systèmes liés à des activités, biens ou services essentiels.

Le ministre devrait considérer qu’un risque pour la sécurité nationale existe ou pourrait apparaître, que l’instruction est nécessaire et que ses exigences sont proportionnées. D’après le texte des amendements arrêté au 24 août, l’ordre pourrait interdire ou restreindre l’utilisation d’un produit, empêcher une nouvelle installation ou souscription, ou imposer la modification, la désactivation ou le retrait d’un équipement déjà déployé.

L’instruction serait remise à l’organisation utilisatrice. Elle devrait identifier cette organisation, le fournisseur concerné, les biens ou services visés, sa date d’entrée en vigueur et un délai raisonnable de mise en conformité. Les motifs pourraient toutefois être omis du document lorsque leur communication serait jugée contraire aux intérêts de la sécurité nationale.

Un avis public qui pourrait taire l’essentiel

Le projet organise une transparence minimale plutôt qu’un secret absolu. Après l’émission, la modification ou la révocation d’une instruction, le gouvernement devrait publier rapidement un avis indiquant sa date d’effet, l’organisation destinataire et un résumé de la mesure, de ses conséquences et de ses motifs.

Le ministre pourrait cependant retrancher tout renseignement dont la publication serait contraire à la sécurité nationale ou nuirait de manière déraisonnable aux intérêts commerciaux d’une personne. Le fournisseur n’étant pas une mention expressément exigée dans l’avis, son nom, la technologie précise et les raisons opérationnelles pourraient disparaître de la version publique.

Une compagnie des eaux, un établissement de santé ou un opérateur de centre de données pourrait ainsi être identifié comme destinataire d’une mesure contraignante, sans que le public sache quel fournisseur doit être écarté. L’avis confirmerait l’intervention de l’État, mais pourrait ne pas permettre d’en évaluer le fondement technique ni les répercussions sur la chaîne d’approvisionnement.

Le gouvernement pourrait en outre interdire au destinataire de révéler tout ou partie de l’existence et du contenu de l’instruction sans autorisation. Une personne consultée en amont, y compris le fournisseur, pourrait également être empêchée de divulguer la consultation et les informations reçues. Le ministre devrait juger ces restrictions nécessaires et proportionnées aux intérêts de la sécurité nationale.

Des services essentiels au-delà des télécoms

Le pouvoir ne serait pas limité aux opérateurs déjà réglementés par le régime britannique de sécurité des réseaux. Des règlements pourraient désigner des organisations exerçant une activité essentielle au fonctionnement quotidien de la société ou de l’économie, ainsi que des entreprises fournissant les biens ou services indispensables à cette activité.

Le projet de loi concerne notamment la santé, l’eau potable et l’énergie, et élargit le cadre aux prestataires de services gérés, aux centres de données et à d’autres infrastructures numériques. Le régime général doit aussi actualiser les obligations de notification des incidents et renforcer les pouvoirs d’instruction du gouvernement.

Le dispositif a une portée extraterritoriale pratique. Le texte précise que l’établissement du fournisseur au Royaume-Uni, le pays depuis lequel ses produits sont fournis et le lieu de certaines opérations ne sont pas déterminants. Une entreprise francophone pourrait donc être concernée si ses produits ou services sont utilisés par une organisation britannique entrant dans le champ d’une instruction.

Pourquoi le précédent Huawei était plus visible

Le modèle s’inspire du dispositif utilisé dans les télécommunications contre Huawei, mais il ne reprend pas la même séquence publique. En 2022, le gouvernement avait formellement désigné Huawei et publié l’instruction imposant à 35 opérateurs de retirer ses équipements des réseaux 5G britanniques avant la fin de 2027.

Avec les nouveaux amendements, aucune désignation publique préalable du fournisseur ne serait nécessaire. Le ministre devrait normalement consulter l’organisation destinataire, le fournisseur et les autres acteurs qu’il juge pertinents, dans la mesure du raisonnablement possible. Il pourrait néanmoins réduire ou supprimer cette consultation si elle était contraire aux intérêts de la sécurité nationale.

Cette différence limite les possibilités de réponse publique du fournisseur. Son nom peut être absent de l’avis, le texte ne prévoit pas qu’une copie de l’ordre doive lui être remise et une obligation de confidentialité peut couvrir les échanges s’il est consulté. L’organisation destinataire et le fournisseur pourraient présenter leurs observations pendant la consultation lorsqu’elle a lieu, mais les amendements ne garantissent pas que leur contestation ni la réponse du gouvernement deviennent publiques.

Ce que les débats doivent encore trancher

Les instructions seraient soumises aux mécanismes prévus pour leur contrôle, leur modification et leur révocation, ainsi qu’aux mesures d’inspection et d’exécution en cas de non-respect. Le gouvernement devrait aussi remettre chaque année au Parlement des données sur le nombre d’ordres émis, les types de services et secteurs concernés, ainsi que les modifications et révocations.

Ce rapport resterait agrégé et n’imposerait pas la publication du nom de chaque fournisseur. L’enjeu de la commission sera donc de déterminer si l’avis public, la consultation conditionnelle et le réexamen des instructions offrent un contrôle suffisant face à un pouvoir capable de bouleverser une relation technologique sans exposer publiquement le risque invoqué.

Au 28 août 2026, seuls les amendements et le calendrier de leur examen sont confirmés. Leur champ définitif, les garanties de transparence et les limites exactes des obligations de non-divulgation dépendront des débats parlementaires et du texte finalement adopté.

À lire aussi:

• Mango AI promet une entreprise sur une invite, sans preuve d’autonomie
• TikTok Creator Rewards : une minute ne suffit pas pour être payé
• Homebrew 6 : faire confiance à une formule sans ouvrir tout le dépôt