Après en avoir délibéré le 23 janvier 2020,

1. Contexte de la saisine

En application des dispositions de l'article L. 36-5 du code des postes et des communications électroniques, la secrétaire générale de la défense et de la sécurité nationale a sollicité l'avis de l'ARCEP sur un projet d'arrêté fixant les modalités de la compensation des prestations assurées par les opérateurs de communications électroniques et les hébergeurs au titre de l'article L. 2321-2-1 du code de la défense.
Ce projet d'arrêté fait partie des textes d'application de la loi n° 2018-607 du 13 juillet 2018 relative à la programmation militaire pour les années 2019 à 2025 et portant diverses dispositions intéressant la défense (ci-après « LPM »), et en particulier, de l'article 34 du chapitre III « Dispositions relatives à la cyberdéfense » qui a notamment introduit la possibilité pour l'ANSSI de mettre en œuvre, sur le réseau des opérateurs ou sur le système d'information des hébergeurs, des dispositifs mettant en œuvre des marqueurs techniques aux seules fins de détecter des événements susceptibles d'affecter la sécurité des systèmes d'information d'autorités publiques, d'opérateurs d'importance vitale ou d'opérateurs de services essentiels.
Ce projet, qui entrera en vigueur le lendemain de sa publication, a été rédigé en concertation avec les hébergeurs avec lesquels l'ANSSI a fait une expérimentation.
Il prévoit que les prestations des opérateurs et hébergeurs sont compensées sur présentation d'une facture du montant de la prestation fixé par le présent projet ou, dans le cas d'une prestation non décrite dans l'arrêté, que la compensation est déterminée sur devis et selon les modalités définies dans le cadre d'une convention avec l'Agence nationale de la sécurité des systèmes d'information.
Il introduit trois catégories de tarifs : la première relative aux prérequis matériels à la mise en œuvre de dispositifs de détection, la seconde relative à la mise en oeuvre d'un dispositif de détection et la dernière relative à l'enlèvement du matériel.

2. Observations de l'ARCEP

L'ARCEP prend acte du projet de fixation des catégories de prestations et des tarifs associés à ces prestations qui apportera plus de transparence et de lisibilité aux opérateurs et aux hébergeurs.
S'agissant des catégories de prestations précisées en annexe, l'ARCEP relève qu'elles ne prévoient pas de prestation de maintenance des équipements et suggère d'en préciser les modalités dans la convention prévue à l'article 3 du présent projet.
Les éléments portés à la connaissance de l'ARCEP ne lui permettent pas de se prononcer sur les niveaux tarifaires proposés pour les prestations visées par l'arrêté. Elle relève que, si certains hébergeurs ont été consultés, les opérateurs de communications électroniques, qui sont également visés par ce projet d'arrêté, ne l'ont pas été et encourage le Gouvernement à une telle consultation.
L'ARCEP invite en tout état de cause le Gouvernement à s'assurer, à la lueur du retour d'expérience des premiers dossiers traités avec les opérateurs de communications électroniques, que les modalités de compensation des différentes prestations couvrent effectivement les coûts pour toutes les catégories d'acteurs et de prestations concernées, et si nécessaire, de tirer les conséquences de ce retour d'expérience en adaptant les niveaux des compensations en conséquence.
Le présent avis sera transmis à la secrétaire générale de la défense et de la sécurité nationale.