Les logiciels et matériels étrangers désormais interdits dans les systèmes d’infrastructures d’information critiques Russes

Depuis le 31 mars, le Président Vladimir Poutine est interdit par décret d’acheter des logiciels étrangers pour les infrastructures d’information critiques (CII) en Russie. Dans le cas où un logiciel étranger nécessaire au fonctionnement d’une infrastructures critique ne peut être remplacé par une solution alternative, une autorisation spéciale sera alors nécessaire pour l’acheter. Le même décret indique également qu’à partir du 1er janvier 2025, toutes les autorités devraient cesser d’utiliser des logiciels étrangers dans toutes les installations de CII, dans l’objectif global « d ’assurer l’indépendance technologique et la sécurité des infrastructures d’information critiques ».

Bien avant le déclenchement de la crise Russie-Ukraine et l’imposition des sanctions contre le Kremlin, la question du remplacement des logiciels et matériels dans les systèmes d’’infrastructure d’information critique avait déjà largement été mise à l’ordre du jour. En effet, des projets de textes, obligeant les opérateurs d’infrastructures d’information critique (CII) à migrer vers des logiciels et équipements nationaux, avaient été publiés entre octobre 2020 et février 2021. Cependant, ces projets avaient été invalidés suite à l’avis défavorable des autorités qui estimaient au terme d’un analyse d’impact que les conséquences d’une telle décision seraient bien plus dommageables que bénéfiques, eu égard au contexte.

Les positions ont relativement changé avec la crise géopolitique et les sanctions imposées à la fédération de Russie. Cependant, le décret ne s’applique pas à tous les opérateurs d’infrastructures critiques d’information (CII), mais seulement à certains d’entre eux. De plus, le décret ne s’applique qu’aux installations CII qualifiées de significatives, c’est-à dire répondant aux critères de classification de l’une des trois (3) des catégories d’importance.

Il est à noter que tous les opérateurs d’infrastructures d’information critique sont tenus de catégoriser et communiquer à l’autorité nationale en charge de la sécurité des infrastructures critiques, leurs installations critiques, conformément à une procédure déterminée par un décret gouvernemental.

Par le même décret, Poutine a chargé le gouvernement d’approuver dans un délai d’un mois :

• les exigences relatives aux logiciels utilisés par les agences gouvernementales, les clients des installations KII importantes leur appartenant ;
• Règles de coordination des achats de logiciels étrangers aux fins de leur utilisation par les clients dans leurs installations KII importantes, ainsi que de l’achat des services nécessaires à l’utilisation de ce logiciel dans ces installations ;
• Et dans un délai de 6 mois, le président a chargé le gouvernement de mettre en œuvre un ensemble de mesures visant à garantir l’utilisation principale par les entités CII des produits électroniques et des équipements de télécommunications domestiques dans les installations CII importantes leur appartenant, notamment :
  • Déterminer les modalités et la procédure de transition des sujets CII vers l’utilisation préférentielle de systèmes logiciels et matériels de confiance dans les installations CII significatives leur appartenant ;
  • Assurer les modifications de la législation de la Fédération de Russie conformément au présent décret ;
  • Assurer la création et l’organisation d’une association de recherche et de production spécialisée dans le développement, la production, le support technique et le service de complexes logiciels et matériels de confiance pour la recherche et le développement ;
  • Organiser la formation et le recyclage du personnel dans le domaine du développement, de la production, du support technique et de la maintenance de produits électroniques et d’équipements de télécommunications ;
  • Mettre en place un système de surveillance et de contrôle dans ce domaine.

Concrètement les organisations concernées ne peuvent pas acheter d’équipements et de logiciels étrangers à utiliser dans d’importantes installations CII sans le consentement de l’autorité autorisée, qui sera déterminée par le gouvernement de la Fédération de Russie dans un délai d’un mois, ainsi que les règles de coordination de ces achats. En effet, elles n’ont plus la possibilité d’acheter légalement des équipements étrangers pour leur installation dans des installations KII importantes, et cela s’applique à tous les équipements – serveurs, imprimantes, pare-feu. Cependant, il n’y a pas une telle interdiction pour l’achat de tels équipements si leur utilisation est destinée à une utilisation dans des installations CII non significatives, par exemple, dans un système de gestion de courrier électronique ou de documents.