FCC interdit l'import de routeurs étrangers aux USA

La FCC bannit les routeurs étrangers au nom de la sécurité nationale

La Federal Communications Commission (FCC) a annoncé le 24 mars 2026 l'interdiction d'importer et d'homologuer tout nouveau routeur grand public fabriqué en dehors des États-Unis. Cette décision historique s'appuie sur le Secure Networks Act et fait suite à une évaluation interagences coordonnée par la Maison-Blanche, qui a conclu que ces équipements présentent des risques inacceptables pour la sécurité nationale. La mesure est directement motivée par trois grandes campagnes d'attaques attribuées à des acteurs liés à la Chine — Volt Typhoon, Flax Typhoon et Salt Typhoon — qui ont exploité des failles dans des routeurs grand public pour infiltrer des réseaux critiques américains, dérober de la propriété intellectuelle et conduire des opérations d'espionnage ciblant des agences gouvernementales et des opérateurs d'infrastructures vitales comme l'énergie, l'eau et les télécommunications. Pratiquement tous les routeurs vendus aux États-Unis, y compris ceux de marques américaines comme Cisco, Netgear ou TP-Link, sont aujourd'hui fabriqués à l'étranger, principalement en Chine. Le seul équipement d'emblée exempté est le routeur Wi-Fi de Starlink, assemblé dans une usine au Texas. Le DoD et le DHS pourront accorder des dérogations conditionnelles pour certains équipements selon des critères de sécurité renforcés. La règle ne s'applique qu'aux nouvelles homologations : les routeurs déjà autorisés et en vente peuvent continuer à être commercialisés et utilisés sans restriction.

La réaction de l'industrie est partagée. Des experts de l'écosystème réseau soulignent qu'il faudra plusieurs années pour constituer une capacité de production domestique suffisante, créant un vide difficile à combler à court terme sur un marché qui écoule des dizaines de millions d'unités par an. D'autres observateurs rappellent l'ironie historique de la démarche : la NSA a elle-même, par le passé, intercepté des routeurs Cisco en transit pour y implanter des outils d'espionnage. Pour les entreprises qui renouvellent leur parc réseau, la recommandation est d'anticiper dès maintenant ces contraintes d'approvisionnement et de documenter la provenance de leurs équipements dans le cadre de leur gestion des risques tiers. La montée en puissance des vulnérabilités exploitées sur les équipements Cisco ces derniers mois illustre concrètement pourquoi la chaîne d'approvisionnement réseau est devenue un enjeu stratégique.

Impact sur les entreprises européennes et la souveraineté numérique

Cette décision de la FCC s'inscrit dans une stratégie américaine plus large de découplage technologique vis-à-vis de la Chine, après les restrictions déjà imposées à Huawei et ZTE sur les réseaux 5G. Avec cette mesure, Washington franchit un seuil supplémentaire : pour la première fois, la réglementation s'étend aux équipements réseau de grande consommation, pas seulement aux infrastructures de télécommunications professionnelles. Cette évolution devrait alimenter les débats européens sur la souveraineté numérique. La directive NIS2 et le Cyber Resilience Act imposent déjà des exigences de sécurité croissantes sur les équipements connectés ; une approche réglementaire similaire à celle de la FCC pourrait émerger en Europe dans les prochaines années. Comme on l'a vu avec les botnets IoT démantelés par le DoJ, les équipements réseau mal sécurisés constituent une infrastructure d'attaque massive. Pour les DSI et RSSI français, il est temps d'auditer les équipements réseau en place — routeurs, switches, points d'accès Wi-Fi — et d'évaluer leur provenance dans le cadre des plans de continuité d'activité et des analyses d'impact. Les organisations exposées aux marchés américains ou soumises aux exigences de leurs clients US devront documenter leur chaîne d'approvisionnement réseau en cohérence avec les évolutions réglementaires transatlantiques. Les spécialistes sécurité saluent la décision tout en pointant son application pratique comme le véritable défi des années à venir selon BleepingComputer. La décision rejoint la tendance des régulations tech portant sur les positions dominantes des grands acteurs dans les infrastructures numériques stratégiques.