Résumé#
La Loi sur le blocage des modules cellulaires étrangers dans les systèmes de défense de 2026 créerait une nouvelle loi ; elle ne modifie pas une loi existante. Elle exigerait que le secrétaire à la Défense audite les systèmes du ministère de la Défense (DoD) pour certains modules cellulaires et fasse rapport sur les efforts d'atténuation. Son objectif déclaré est de prévoir un audit et une atténuation de ces modules ; le projet de loi ne garantit pas leur retrait.
- Dans les 180 jours suivant l'entrée en vigueur, le secrétaire doit commencer un audit à l'échelle du ministère couvrant les départements militaires, les commandements combattants, les agences de défense et les activités et programmes du DoD. L'audit doit donner la priorité aux systèmes critiques pour la mobilité militaire, la logistique et la sécurité des installations.
- L'audit doit inclure les systèmes exploités par des entrepreneurs connectés aux réseaux du DoD ou accédant à des informations du DoD, ainsi que les systèmes appartenant au gouvernement. Il doit identifier les détails des modules dans la mesure du possible et évaluer les risques en matière de cybersécurité.
- Les modules « couverts » incluent ceux fabriqués, produits ou fournis par des entités identifiées en vertu d'une loi de 2019 citée ; des entités détenues ou contrôlées par, ou soumises à la juridiction ou à la direction de, la Chine ; ou d'autres entités que le secrétaire juge présenter un risque inacceptable pour la chaîne d'approvisionnement.
- Le secrétaire doit faire rapport aux comités de défense du Congrès dans un délai d'un an, puis tous les deux ans pendant une période maximale de six ans. Les rapports doivent décrire les mesures d'atténuation en cours et prévues, leurs coûts et délais estimés, les obstacles et tout besoin d'autorité légale supplémentaire.
- Le contrôleur général doit faire rapport sur la mise en œuvre et l'efficacité dans les 180 jours suivant le rapport du secrétaire.
Ce que cela signifie pour vous#
- Départements, agences et programmes du DoD : Le secrétaire doit commencer l'audit et faire rapport de ses conclusions et des réponses prévues ou en cours.
- Entrepreneurs : Leurs systèmes sont inclus s'ils sont connectés aux réseaux du DoD ou accèdent à des informations du DoD. Le projet de loi n'exige pas directement des entrepreneurs qu'ils remplacent ou retirent des modules.
- DoD et contribuables : Le projet de loi exige un travail d'audit et de rapport, mais n'ordonne pas lui-même un remplacement, un retrait ou une autre action d'atténuation spécifique. Il ne crée pas de processus de demande publique ou de service direct pour les individus.
- Grand public : Les rapports doivent être soumis sous forme non classifiée mais peuvent inclure une annexe classifiée. Le projet de loi ne dit pas qu'ils doivent être publiés publiquement.
Finances#
Aucune information disponible publiquement sur le coût de l'audit ou le coût global du projet de loi.
- Le projet de loi exige un travail d'audit et de rapport mais ne fournit aucun montant de financement ou estimation de coût pour ce travail.
- Les rapports doivent inclure des estimations de coûts, des délais et des besoins en ressources pour les mesures d'atténuation ; ces estimations doivent être produites après l'entrée en vigueur.
Ce qui n'est pas clair#
- Le projet de loi ne fixe pas de délai pour terminer l'audit ni n'exige une action d'atténuation particulière après qu'un module a été trouvé.
- Il ne fixe pas de règles sur la manière dont le secrétaire décide qu'un risque pour la chaîne d'approvisionnement est « inacceptable ».
- Le projet de loi n'explique pas comment les résultats de l'audit seront traités, ni quel processus de surveillance, d'appel ou de divulgation publique s'applique.
- Une disposition de rapport fait référence à l'audit requis en vertu du paragraphe (b), mais l'exigence d'audit se trouve au paragraphe (a). La référence prévue semble floue dans le texte.
- La loi de 2019 citée et la publication du NIST ne sont pas incluses dans le matériel fourni, donc leurs détails pertinents ne peuvent pas être vérifiés ici.
Arguments en faveur#
- Un audit à l'échelle du ministère pourrait donner au DoD une image plus claire de l'endroit où les modules couverts sont utilisés et des risques qu'ils peuvent poser.
- La priorité donnée aux systèmes importants pour la mobilité, la logistique et la sécurité des installations concentre l'audit sur les domaines que le projet de loi identifie comme critiques.
- Inclure les systèmes exploités par des entrepreneurs pourrait aider à éviter des lacunes où les systèmes connectés aux réseaux ou aux informations du DoD ne sont pas détenus par le gouvernement.
- Exiger des rapports sur les coûts, les délais, les obstacles et l'autorité légale supplémentaire possible pourrait aider le Congrès à évaluer ce que nécessiterait l'atténuation.
Arguments contre#
- Le projet de loi exige un audit et des rapports mais n'exige pas que le DoD retire ou remplace des modules identifiés. Cela pourrait laisser l'atténuation dépendre de décisions ultérieures.
- Le secrétaire peut désigner d'autres entités comme présentant des risques inacceptables pour la chaîne d'approvisionnement, mais le projet de loi n'explique pas les critères ou le processus pour ce faire.
- Les devoirs d'audit et de rapport nécessitent des ressources, mais le projet de loi ne fournit aucun montant de financement ou estimation.
- Le projet de loi ne fixe pas de délai d'achèvement pour l'audit ni n'explique comment les résultats mèneront à des décisions concernant des systèmes particuliers.