Digital Networks Act (DNA) : les enjeux d’autonomie stratégique et de réduction des dépendances technologiques

Lors du Mobile World Congress (#MWC2026), les leaders les plus importants de l’industrie des télécommunications ont pris la parole dans une série de keynotes pour évoquer les tendances structurantes d’évolution des réseaux mobiles.

Beaucoup des sujets abordés — taille pertinente du marché des telcos dans le contexte du déploiement de la 5G, révolution impulsée par les réseaux mobiles spatiaux, nécessité de renforcer les infrastructures critiques, impact continu et massif de l’IA — sont au cœur des dispositions du projet de Digital Networks Act (#DNA), présenté par la Commission européenne le 21 janvier 2026.

Le DNA vise à redéfinir le cadre législatif applicable au secteur des communications électroniques en Europe afin de l’adapter à ces réalités. Cette réforme consolide plusieurs législations sectorielles : le Code des communications électroniques européen (EECC), le règlement BEREC, le programme de politique du spectre radio et le règlement sur l’internet ouvert de 2015. L’objectif est de remplacer des directives par un règlement directement applicable et d’assurer une application uniforme dans tous les États membres.

L’un des volets les plus stratégiques du projet concerne la réduction des dépendances technologiques et l’autonomie stratégique à préserver dans les réseaux de communication. Il vise à faire passer la souveraineté numérique du stade de concept à une réalité ancrée dans les infrastructures des opérateurs de réseaux mobiles.

Cela suppose:

• de n’utiliser que des composants audités et approuvés par les agences de cybersécurité européennes, et développer des chaînes d’approvisionnement de confiance ;
• de mettre strictement en œuvre les lignes directrices de la boîte à outils européenne pour la sécurité de la 5G, ce qui n’est pas encore le cas dans tous les pays de l’Union.

Une rupture de paradigme : de la recommandation à l’obligation

Le volet sécurité du DNA s’inscrit dans la continuité d’une politique initiée en 2020, mais il franchit un seuil décisif. Il officialise les mesures prises par la Commission et les États membres pour les réseaux mobiles, qui avaient conduit à un cadre volontaire visant à réduire les risques : la « boîte à outils 5G ».

Ce cadre volontaire n’a pas produit les résultats attendus : seuls dix des vingt-sept États membres avaient utilisé la boîte à outils pour imposer des obligations aux fournisseurs à haut risque, en les restreignant ou en les excluant de leurs réseaux 5G.

Cette action limitée conduit à un système obligatoire, au travers du DNA et de la révision du Cybersecurity Act, avec un délai strict de trois ans pour éliminer progressivement des réseaux 5G les fournisseurs considérés comme à haut risque.

DNA + Cybersecurity Act 2 : un dispositif à deux étages

Le DNA ne constitue pas à lui seul le dispositif de sécurisation des chaînes d’approvisionnement. Il fonctionne en tandem avec la révision du Cybersecurity Act (#CSA2), présentée le 20 janvier 2026. Le projet de DNA renvoie aux conditions du règlement sur la cybersécurité qui doivent également être respectées pour l’autorisation au titre du DNA.

Concrètement, les deux textes se complètent : le DNA fixe les conditions d’accès et d’autorisation des réseaux ; le CSA2 définit les critères d’identification des fournisseurs à risque et les mesures d’élimination.

Premier pilier — l’identification des actifs TIC clés. La Commission européenne identifie les actifs utilisés par les secteurs essentiels ou critiques au titre des annexes I et II de la directive NIS2 : composants, équipements ou services jugés critiques pour leur fonctionnement.

Deuxième pilier — la qualification des fournisseurs à haut risque. La sécurité de la chaîne d’approvisionnement ne relève plus seulement de la sécurité technique des produits et services. Elle intègre également les risques liés aux dépendances, à l’ingérence étrangère, à l’espionnage économique ou à l’influence étatique. Cette qualification entraîne des restrictions : absence de certification européenne en cybersécurité, exclusion des marchés publics et des programmes financés par l’UE sur des actifs TIC essentiels.

Troisième pilier — les mesures d’atténuation ciblées. Sur la base des évaluations de risques et de l’identification des actifs clés, la Commission peut proposer des mesures allant jusqu’à l’interdiction de composants fournis par des « high-risk suppliers » dans les actifs IT critiques. Ces décisions devront s’appuyer sur une analyse de marché et une évaluation de l’impact économique. Le texte prévoit aussi un mécanisme permettant de désigner un pays présentant des préoccupations de cybersécurité pour les chaînes d’approvisionnement ICT.

En synthèse, le DNA et le CSA2 font passer la sécurisation des réseaux d’une logique d’incitation volontaire à une contrainte juridique opposable, dotée d’un calendrier, de sanctions potentielles et d’une gouvernance centralisée.

Un axe essentiel pour les communications de sécurité et de secours

Les dispositions relatives à l’autonomie stratégique et à la réduction des dépendances technologiques constituent un axe essentiel pour les réseaux dédiés aux communications de sécurité et de secours : le #RRF en France et, demain, le #EUCCS au niveau de l’Union européenne.

Ces réseaux de communications « missions critiques » doivent s’appuyer sur des infrastructures d’accès radio 4G et 5G qui intègrent pleinement les enjeux de souveraineté numérique et d’autonomie stratégique. L’utilisation sécurisée de la 5G requiert des infrastructures de confiance.

Le DNA confirme enfin la convergence entre télécoms, cloud et cybersécurité, et la reconnaissance des réseaux numériques comme infrastructures critiques, régulées non seulement sous l’angle économique, mais aussi au prisme de la sécurité et de la continuité de service.