Là cybersécurité des télécommunications entre dans une nouvelle phase : protéger le périmètre réseau ne suffit plus quand l’IA, les infrastructures cloud natives, les API, les conteneurs, l’open Ran et la convergence entre les systèmes informatiques et le réseau multiplient les points d’entrée disponibles pour les attaquants. C'est la thèse au centre de l'analyse publiée par Renseignement GSMAqui identifie la cyber-résilience intégrée dans l’architecture des télécommunications comme l’une des étapes décisives pour l’évolution des opérateurs.
Le problème ne concerne pas seulement la croissance quantitative des attaques. La nature même du risque change. Les technologies utilisées par les opérateurs pour automatiser les réseaux, réduire les coûts, accélérer la fourniture des services et accroître la programmabilité peuvent également être exploitées sur le front offensif. L’IA, notamment, permet de renforcer la surveillance et la réponse aux incidents. Dans le même temps, il offre aux attaquants des outils pour augmenter la vitesse, l’échelle et la sophistication des opérations.
Du périmètre à la résilience de l’ensemble de l’infrastructure
Deuxième Renseignement GSMAle modèle basé sur la protection de domaines individuels via des défenses périmétriques et une stratification d’outils de sécurité ne répond plus à la structure des réseaux modernes. Le livre blanc «Une architecture cible pour la cybersécurité des télécoms” examine l’évolution vers une approche axée sur l’architecture et basée sur la résilience. La recherche utilise également des preuves recueillies auprès d’opérateurs en Asie-Pacifique.
La raison en est l’interdépendance croissante entre des domaines auparavant plus distincts. Les fonctions natives du cloud, les interfaces ouvertes et la convergence entre les technologies de l'information et les technologies de communication permettent des réseaux plus flexibles, tout en élargissant la surface d'attaque. Un compromis au niveau des systèmes d’entreprise, des plateformes cloud ou des systèmes de support peut s’étendre à des composants plus proches des fonctions réseau, mettant ainsi en danger la disponibilité et la continuité des services.
C’est là que le concept de défense change. Le but n'est pas de construire un mur théoriquement infranchissable, mais concevoir une infrastructure capable d'empêcher la propagation de l'attaque, de détecter rapidement les anomalies et de maintenir les fonctions essentielles opérationnelles même lorsqu'une partie de l'environnement est compromise. Pour un opérateur, cela signifie déplacer son attention du nombre de solutions de sécurité installées vers la capacité à gérer les risques tout au long du cycle de vie du réseau.
Sécurité native et protection des actifs critiques
L'un des piliers indiqués par Gsma Intelligence est sécurité centrée sur les actifs. La première tâche consiste à identifier quelles ressources sont essentielles pour garantir la fourniture des services et assurer à ces derniers des niveaux de protection adaptés à leur criticité. En effet, tous les éléments du réseau ne présentent pas le même profil de risque et ne nécessitent pas tous des méthodes de surveillance et de réponse identiques.
C'est de là que vient le concept de « sécurité native » : les contrôles ne sont pas ajoutés après la construction de l'infrastructure mais sont intégrés aux éléments du réseau depuis les phases de conception et de production jusqu'au déploiement et à l'exploitation quotidienne. C’est aussi une transformation importante pour la relation entre opérateurs et fournisseurs, car elle amène de plus en plus en amont de la chaîne technologique les exigences cyber, la vérifiabilité des composants et la gestion des vulnérabilités.
Cette orientation trouve également un parallèle dans l’évolution des politiques européennes. En février 2026, le Groupe de coopération des NEI a adopté une nouvelle Boîte à outils européenne pour la sécurité de la chaîne d'approvisionnement des TICdestiné à renforcer la gestion des risques dans les chaînes d’approvisionnement technologiques. Dans le même cadre, la Commission européenne a proposé en janvier 2026 une révision de la loi sur la cybersécurité incluant une approche harmonisée des risques des chaînes d'approvisionnement critiques en TIC.
Pour les opérateurs télécoms, la question est particulièrement sensible. L'ouverture des réseaux et la croissance de l'écosystème logiciel augmentent le nombre de composants, d'entités et de dépendances qui doivent faire partie de la gouvernance de la sécurité. Le risque tiers cesse ainsi d’être un enjeu essentiellement contractuel et devient une variable de résilience opérationnelle.
Défense multi-niveaux et Soc spécialisée
La deuxième direction est la défense en profondeur. Contre les attaques persistantes et latérales, une seule couche de protection peut être contournée. GSMA Intelligence propose donc une structure répartie sur plusieurs domaines, capable de combiner les contrôles au niveau des appareils, des connexions, des opérations, des applications, du transport IP et du cœur.
Un rôle central est attribué à la capacité d’intégrer le contrôle du réseau et l’intelligence de sécurité. La télémétrie produite par l’infrastructure doit pouvoir être rapidement analysée et transformée en décisions opérationnelles. Dans ce modèle, le réseau n’est pas seulement l’objet à protéger : devient l’une des principales sources d’informations pouvant être utilisées pour détecter un comportement anormal.
Même l’utilisation généralisée des plateformes EDR montre des limites. L’application indifférenciée des mêmes systèmes de détection et de réponse des points de terminaison à l’ensemble d’une infrastructure de télécommunications ne prend pas en compte les différences entre les actifs, les fonctions et les domaines. La réponse doit plutôt être calibrée sur la composante technologique spécifique et son rôle au sein du réseau.
La GSMA indique également l'hypothèse d'un modèle avec deux Socs distinctes mais étroitement coordonnéesl'un dédié à l'environnement informatique et l'autre aux technologies de communication. La spécialisation permettrait de maintenir des compétences verticales sans renoncer à une vision globale des incidents. Il ne s’agit pas d’une étape organisationnelle secondaire : la convergence technologique n’élimine pas les différences entre domaines, mais rend indispensable un échange d’informations beaucoup plus rapide.
L'IA accélère à la fois la défense et l'attaque
L’IA est le facteur qui rend cette transformation encore plus urgente. Les opérateurs peuvent l'utiliser pour corréler de grandes quantités d'événements, identifier des modèles anormaux, automatiser certaines activités SOC et améliorer les temps de réponse. Cependant, les mêmes outils peuvent réduire les barrières à l’entrée pour les attaquants et augmenter la capacité de développer des campagnes à grande échelle. GSMA Intelligence décrit explicitement cette dynamique comme l’un des principaux éléments qui remodèlent le paysage des menaces.
Le point stratégique est que l’automatisation des réseaux et l’automatisation de la sécurité devront aller de pair. Un réseau de plus en plus défini par logiciel et autonome, s'il était protégé par des processus principalement manuels, risquerait de générer un écart croissant entre la vitesse de l'infrastructure et la capacité à la défendre.
Le contexte européen confirme la pression. LE'Paysage des menaces d’Enisa 2025s'appuyant sur l'analyse de 4 875 incidents observés entre juillet 2024 et juin 2025, met en évidence un environnement dans lequel différents groupes malveillants réutilisent des outils et des techniques, exploitent des vulnérabilités et introduisent de nouveaux modèles d'attaque contre l'infrastructure numérique européenne.
L’IA peut donc représenter un multiplicateur de capacités, mais elle ne remplace pas la gouvernance, la segmentation, la gestion des actifs et les compétences. Sans ces éléments, vous risquez simplement d’automatiser des processus qui restent structurellement fragiles.
Nis2, la cybersécurité passe au niveau du management
À la pression technologique s’ajoute la pression réglementaire. Avec le Nis2l’Union européenne a élargi le champ des organisations couvertes par des obligations en matière de cybersécurité et renforcé les règles, la surveillance et la responsabilité. En janvier 2026, la Commission a également proposé des modifications ciblées de la directive dans le but d'accroître sa clarté juridique.
Pour les opérateurs, cela signifie devoir coordonner les exigences en matière de cybersécurité, de télécommunications, de protection des données, d’infrastructures critiques et, de plus en plus, de gouvernance de l’IA. GSMA Intelligence fait spécifiquement référence aux audits, aux délais obligatoires de déclaration des incidents, à la sécurité dès la conception et au contrôle des fournisseurs comme des éléments appelés à prendre une importance croissante.
En mai 2026, le groupe de coopération Nis2 a également adopté des modèles communs de déclaration d'incidents, dans le but d'harmoniser les champs requis dans les différents pays de l'Union et de réduire la complexité pour les entreprises soumises aux obligations.
La cybersécurité laisse ainsi définitivement le seul champ de la fonction technique. Déterminer à qui appartient un risque, qui peut l’accepter et qui doit intervenir signifie intégrer la question dans les processus décisionnels de gestion. Et une gouvernance avec des responsabilités définies est justement une des exigences placées au centre du modèle proposé par la GSMA.
De la protection des réseaux à un nouveau marché B2b
Enfin, il y a une conséquence commerciale. Les télécommunications constituent l'infrastructure sur laquelle reposent les services publics, les entreprises, les systèmes financiers et les applications industrielles. Plus cette dépendance augmente, plus les capacités construites par les opérateurs pour défendre leurs réseaux peuvent devenir un atout qui peut également être dépensé sur le marché.
GSMA Intelligence estime que le marché mondial de la cybersécurité peut rattraper son retard 289 milliards de dollars d'ici 2030 et identifie l'opportunité pour les opérateurs de télécommunications de transformer une partie de leurs capacités internes en offres de sécurité en tant que service destinées aux entreprises, aux administrations publiques, à l'industrie et aux clients privés des réseaux 5G.
L'avantage potentiel des opérateurs réside dans la connaissance de l'infrastructure de connectivité et la disponibilité des données du réseau. Mais la transformation d’opérateur télécom en fournisseur de sécurité n’est pas automatique. Cela signifie développer des compétences spécialisées, des plateformes évolutives, des modèles de services continus et la capacité de rivaliser avec les hyperscalers, les fournisseurs de technologies et les opérateurs spécialisés dans la cybersécurité.
La sécurité peut donc devenir l’une des lignes directrices de la diversification B2B des opérateurs télécoms, mais seulement si les investissements nécessaires à la protection des réseaux se transforment en capacités industrielles réutilisables.
L’essentiel est de transformer la cybersécurité en architecture
Le message qui ressort de l’analyse de GSMA Intelligence va au-delà de l’introduction de nouveaux outils. Le cloud, l'IA, les interfaces ouvertes et la convergence technologique effacent la possibilité de séparer clairement réseau et sécurité. Augmenter le nombre de cyberproduits sans modifier la gouvernance et l’architecture risque donc de produire de la complexité plutôt que de la résilience.
Pour les opérateurs, s’ouvre une phase dans laquelle la qualité de la cybersécurité sera de plus en plus liée à la conception de l’infrastructure elle-même, à la connaissance des actifs, à la capacité de contrôler la chaîne d’approvisionnement et à la rapidité avec laquelle les informations provenant du réseau peuvent devenir des actions de défense.