La Chine ouvre une enquête de sécurité nationale sur les imprimantes et photocopieurs importés

Le ministère chinois du Commerce a ouvert le 5 août une enquête de sécurité nationale sur les imprimantes et photocopieurs importés, plaçant sous examen les logiciels étrangers intégrés à des équipements de bureau ordinaires.

Il ne s’agit ni d’une interdiction d’importation, ni d’un rappel de produits, ni d’une conclusion selon laquelle un fournisseur aurait compromis des réseaux chinois. La procédure ouvre une phase d’établissement des faits pouvant examiner les importations, la dépendance étrangère, la production nationale, les politiques publiques et les effets potentiels sur la sécurité nationale.

Un flux d’actualités RSSHub de 36Kr a contribué à diffuser l’annonce, mais l’événement à l’origine de celle-ci est l’Annonce n° 33 du MOFCOM. Ce document principal définit l’enquête et son champ d’application.

Le conflit central dépasse les imprimantes. La Chine cherche à déterminer si la dépendance à des logiciels contrôlés depuis l’étranger, présents dans du matériel de bureau connecté, doit être considérée comme une exposition sécuritaire liée au commerce.

Ce changement exerce une pression sur les fabricants étrangers d’équipements, les importateurs chinois, les acheteurs professionnels et les solutions nationales. Tous sont désormais confrontés à des questions concernant la propriété des logiciels, les canaux de mise à jour, les accès techniques, l’approvisionnement en composants et le support à long terme.

L’enquête crée également un arbitrage difficile. Les logiciels développés à l’étranger peuvent offrir des fonctions éprouvées, de la maintenance et de la compatibilité, mais le contrôle externe de ces logiciels peut compliquer les garanties de sécurité nationale.

Ce que couvre réellement l’enquête chinoise

L’enquête vise une catégorie de logiciels et de chaînes d’approvisionnement, et non une liste publiée d’entreprises ou de pays.

Le MOFCOM a identifié les produits visés comme des équipements de bureau importés dotés de fonctions d’impression ou de copie lorsqu’ils contiennent des logiciels système étrangers. Cette catégorie peut inclure les imprimantes, les photocopieurs et les appareils multifonctions.

L’annonce définit les logiciels système étrangers comme des logiciels pilotes ou embarqués développés, testés ou maintenus par des personnes physiques ou des entités étrangères. Les logiciels embarqués sont du code stocké dans un appareil qui contrôle ses fonctions essentielles.

Cette définition est importante, car une machine n’a pas besoin d’afficher une marque étrangère pour entrer dans le champ déclaré. Les relations de développement et de maintenance logicielle peuvent traverser les frontières entre entreprises, fournisseurs et pays.

L’annonce ne cite ni Canon, Ricoh, Konica Minolta, Xerox, HP, Brother, Epson, ni aucun autre fabricant. Elle n’accuse pas non plus un produit précis de contenir une vulnérabilité ou une fonction cachée.

Présenter cette mesure comme une conclusion visant un fournisseur précis irait donc au-delà des éléments publics. Le ministère a annoncé une enquête, non un verdict de sécurité.

Le MOFCOM a déclaré que des informations préliminaires indiquaient que les équipements couverts pourraient affecter des intérêts de sécurité nationale liés au commerce extérieur. Il n’a pas publié ces informations préliminaires ni décrit d’incident spécifique.

L’enquête a commencé le 5 août 2026. Elle devrait se conclure dans les 12 mois suivant l’annonce d’ouverture, bien que le gouvernement puisse prolonger cette période dans des circonstances particulières.

Les parties intéressées disposaient de 30 jours à compter de la publication pour soumettre des observations écrites sur la décision d’ouverture et les procédures d’enquête. Cette période de dépôt donne aux fabricants, importateurs, groupes industriels et autres parties concernées une première occasion de répondre.

Le ministère peut recourir à des questionnaires écrits, des audiences, des enquêtes sur site et des études commandées. Il peut ensuite publier un rapport d’enquête ou prendre une décision de traitement sur la base de ses conclusions.

Sept grands domaines relèvent de l’enquête. Ils comprennent les schémas d’importation, les effets sur la sécurité nationale, la demande intérieure, la dépendance étrangère et l’état de l’industrie chinoise.

Les enquêteurs peuvent également évaluer si les entreprises nationales sont capables de répondre à la demande locale et aux exigences de sécurité. Les politiques de gouvernements étrangers et d’autres facteurs de sécurité liés au commerce entrent également dans le champ de l’enquête.

Cette ampleur signifie que la procédure peut examiner davantage que les vulnérabilités logicielles. Elle peut prendre en compte la concentration du marché, le contrôle des mises à jour, l’accès à la maintenance, la continuité des approvisionnements et la capacité de la Chine à remplacer les systèmes importés.

L’annonce ne précise pas les critères que les fabricants devront satisfaire. Elle n’identifie ni les lieux acceptables de développement logiciel, ni les modalités relatives au code source, les normes d’audit ou les contrôles de traitement des données.

Elle laisse aussi l’expression « logiciels système étrangers » ouverte à l’interprétation pratique. Un appareil peut contenir des micrologiciels de plusieurs fournisseurs tout en s’appuyant sur des pilotes maintenus par des équipes régionales distinctes.

Les enquêteurs devront décider comment ces configurations mixtes s’inscrivent dans cette définition. Cette interprétation pourrait déterminer si l’enquête reste limitée ou s’étend à une grande partie du marché des équipements de bureau importés.

La distinction entre une enquête et une restriction est essentielle. Les équipes chargées des achats ne devraient pas supposer que les appareils installés sont devenus interdits simplement parce qu’ils correspondent à la catégorie examinée.

Dans le même temps, l’enquête officielle modifie l’évaluation des risques. Les acheteurs effectuant des acquisitions pluriannuelles doivent désormais se demander si de futures conclusions pourraient modifier l’éligibilité, les exigences de support ou les configurations approuvées.

Pourquoi les équipements de bureau connectés posent une question de sécurité

Un photocopieur moderne est un ordinateur connecté qui traite des documents, stocke des données, exécute des micrologiciels et communique avec des systèmes externes.

Les imprimantes sont faciles à négliger parce que leur résultat visible reste du papier. En interne, de nombreux modèles destinés aux entreprises intègrent des processeurs, du stockage, des environnements d’exploitation, des services réseau, des interfaces d’administration et des fonctions de gestion à distance.

Un appareil multifonction peut recevoir un contrat confidentiel, numériser une pièce d’identité, stocker des travaux en attente, authentifier des employés, se connecter à des annuaires et envoyer des fichiers vers des adresses e-mail ou des destinations cloud.

Ces fonctions font de l’appareil un élément du système d’information d’une organisation. Son niveau de risque dépend de la conception logicielle, de la configuration, de son emplacement sur le réseau, des contrôles d’identité, des pratiques de mise à jour et du support du fournisseur.

La présence de logiciels étrangers ne prouve pas à elle seule une activité malveillante. L’origine d’un logiciel n’est qu’un facteur parmi d’autres, et les logiciels développés localement peuvent eux aussi contenir des défauts ou des paramètres par défaut non sécurisés.

Cependant, la maintenance depuis l’étranger peut soulever des questions de gouvernance pour un État qui cherche à obtenir des garanties directes. Les autorités peuvent se demander qui peut signer les mises à jour, inspecter le code, accéder à la télémétrie, émettre des certificats ou interrompre le support.

Les micrologiciels sont particulièrement importants, car ils contrôlent le comportement de bas niveau de l’appareil. Un micrologiciel compromis peut persister sous les applications ordinaires et rester difficile à inspecter pour les administrateurs.

Le National Institute of Standards and Technology des États-Unis décrit trois objectifs centraux dans ses recommandations sur la résilience des micrologiciels : empêcher les modifications non autorisées, les détecter et permettre une récupération sécurisée.

Ces principes ne constituent pas une preuve contre les imprimantes importées. Ils montrent pourquoi les gouvernements et les acheteurs professionnels considèrent de plus en plus le code embarqué comme un élément de la sécurité de la chaîne d’approvisionnement.

L’exposition réseau ajoute une couche supplémentaire. Les imprimantes peuvent prendre en charge l’administration web, la connectivité sans fil, les protocoles de transfert de fichiers, les diagnostics à distance et les mises à jour automatiques.

Chaque service apporte une valeur potentielle et une surface d’attaque potentielle. Une surface d’attaque est l’ensemble des interfaces et fonctions qu’un adversaire pourrait tenter d’exploiter.

Le NIST a expressément utilisé les imprimantes de bureau pour expliquer les risques créés par les appareils connectés. Ses recommandations sur les risques liés à l’IoT conseillent aux organisations d’évaluer la cybersécurité et la confidentialité avant de connecter des appareils à leurs réseaux.

Les risques pratiques varient fortement. Un appareil configuré de manière sécurisée sur un réseau segmenté présente un profil différent d’une machine exposée à Internet utilisant un micrologiciel ancien et des identifiants par défaut.

La segmentation réseau place les appareils dans des zones réseau séparées, avec des voies de communication restreintes. Elle peut limiter les dommages causés par une imprimante compromise sans obliger l’organisation à faire entièrement confiance à chaque composant.

Les contrôles d’accès, l’administration chiffrée, les mises à jour signées, la désactivation des protocoles anciens et les paramètres de conservation des documents apportent des protections supplémentaires. Les règles d’achat peuvent exiger des preuves de ces capacités.

L’enquête chinoise semble aller au-delà de cette liste de contrôle technique. Le MOFCOM peut évaluer la dépendance à l’égard des biens, technologies et services étrangers, ainsi que la capacité de l’industrie nationale à répondre aux besoins du pays.

Cela crée deux questions qui se chevauchent. La première consiste à déterminer si certains appareils sont conçus et exploités de manière sécurisée.

La seconde consiste à savoir si la Chine accepte de dépendre de logiciels contrôlés depuis l’étranger pour des équipements utilisés dans l’administration, les entreprises, la recherche et d’autres environnements sensibles.

Un fabricant peut obtenir de bons résultats au premier test tout en restant soumis à des pressions au titre du second. Une solide sécurité produit n’élimine pas les préoccupations liées à l’autorité de mise à jour, à la juridiction ou à l’interruption des approvisionnements.

À l’inverse, une production nationale ne prouve pas automatiquement la sécurité. Une politique crédible exigerait toujours des tests, une gestion des vulnérabilités, un contrôle des accès et une maintenance transparente pour tous les fournisseurs.

La valeur finale de l’enquête dépendra de sa capacité à distinguer les risques techniques mesurables des hypothèses fondées principalement sur l’origine. L’annonce d’ouverture ne révèle pas comment les autorités entendent établir cette distinction.

Contrôle des logiciels étrangers contre sécurité vérifiable des appareils

La question décisive est de savoir si la Chine évalue des contrôles mesurables ou considère le contrôle étranger des logiciels comme une dépendance inacceptable en soi.

Un processus fondé sur les risques examinerait l’architecture des appareils, les flux de données, la signature des mises à jour, la gestion des vulnérabilités, l’accès à distance, les composants logiciels et la supervision des fournisseurs. Il relierait les restrictions à des éléments probants.

Un processus fondé sur l’origine se concentrerait davantage sur l’identité de ceux qui développent ou maintiennent les logiciels. Cette approche peut réduire la dépendance, mais elle fournit une mesure moins précise de la sécurité d’un appareil individuel.

L’annonce du MOFCOM laisse les deux approches possibles. Elle couvre explicitement les effets sur la sécurité nationale, la dépendance aux technologies étrangères, l’industrie nationale et les mesures de gouvernements étrangers.

C’est la tension principale de l’enquête. Les garanties de sécurité et l’autonomie de la chaîne d’approvisionnement se recoupent, mais ne constituent pas des objectifs identiques.

Les fabricants peuvent répondre aux préoccupations relatives aux garanties par des preuves techniques. Ils peuvent documenter les nomenclatures logicielles, les mécanismes de mise à jour, le chiffrement, les contrôles d’accès, le comportement de la télémétrie et les procédures de réponse aux vulnérabilités.

Une nomenclature logicielle est un inventaire des composants utilisés dans un produit logiciel. Elle aide les clients à identifier les systèmes affectés lorsque des vulnérabilités apparaissent dans une dépendance partagée.

Les fournisseurs pourraient également proposer une infrastructure de mise à jour gérée localement, des tests indépendants, des contrôles de localisation des données ou une administration à distance restreinte. On ignore si les autorités chinoises considéreraient ces mesures comme suffisantes.

Les préoccupations liées à la dépendance sont plus difficiles à résoudre par les seuls tests. Si les responsables considèrent l’autorité étrangère de maintenance comme intrinsèquement risquée, une évaluation de sécurité favorable pourrait ne pas suffire à régler la question.

L’enquête pousse donc les fabricants mondiaux à cartographier leurs chaînes de développement avec un niveau de détail inhabituel. Un appareil assemblé dans un pays peut intégrer des modules de firmware maintenus dans plusieurs autres.

Les pilotes constituent une autre complication. Un pilote d’imprimante relie un système d’exploitation à un appareil et traduit les requêtes des applications en commandes que la machine comprend.

Les pilotes sont souvent mis à jour via les canaux du système d’exploitation, des outils de gestion d’entreprise ou les sites web des fournisseurs. Leur chaîne de sécurité et de maintenance peut différer de celle des logiciels embarqués dans l’imprimante.

L’enquête pourrait à terme distinguer ces différentes couches. Elle pourrait aussi les regrouper, car l’annonce mentionne expressément à la fois les pilotes et le code embarqué.

Les acheteurs d’entreprise ont besoin que cette distinction soit clarifiée. Remplacer un pilote de système d’exploitation peut être bien plus simple que remplacer un firmware embarqué propriétaire ou tout un parc d’appareils.

Les fournisseurs étrangers doivent également savoir si des tests effectués localement sont considérés comme étrangers lorsque la société mère contrôle le processus. La même question s’applique aux coentreprises, sous-traitants et fournisseurs tiers de composants.

Tant que le MOFCOM n’aura pas publié de questionnaires ou de documents procéduraux, des réponses définitives relèveraient de la spéculation. Le document d’ouverture décrit l’objectif de l’enquête, non son cadre d’évaluation détaillé.

Le débat sur la sécurité comporte aussi un volet opérationnel. Les fournisseurs assurent des correctifs, des mises à jour de compatibilité, des outils de gestion de parc et une assistance technique tout au long de la vie d’un produit.

Réduire la dépendance extérieure peut accroître le contrôle des politiques publiques, mais un remplacement rapide peut créer de nouveaux risques. Des produits peu familiers, des migrations précipitées et une assistance fragmentée peuvent affaiblir la sécurité pendant la transition.

Les équipes achats doivent donc arbitrer entre continuité et localisation. Elles doivent protéger les opérations actuelles tout en se préparant à des règles qui n’ont pas encore été écrites.

Une réponse prudente commence par un inventaire plutôt que par un remplacement immédiat. Les organisations doivent savoir quels appareils importés elles possèdent, quels logiciels chacun utilise et où ces appareils se connectent.

Elles doivent également identifier les sources de mise à jour, les dates d’expiration de l’assistance, les paramètres de gestion à distance, le comportement de stockage des documents et les flux de travail sensibles. Ces informations soutiennent la gestion de la sécurité sous toute future politique.

Les recommandations actuelles du NIST pour les informations protégées considèrent les imprimantes, scanners et photocopieurs comme des composants système configurables. Ses contrôles de sécurité mettent l’accent sur des paramètres restrictifs et des mises à jour rapides des logiciels ou firmwares.

Ces contrôles illustrent un point important. Le risque lié aux appareils peut être réduit par l’architecture et l’administration, avant même que les régulateurs ne décident si l’origine soulève une préoccupation nationale supplémentaire.

Les fournisseurs mondiaux doivent s’attendre à des demandes allant au-delà des certifications. Les autorités pourraient rechercher des preuves opérationnelles montrant comment les mises à jour sont créées, approuvées, distribuées, journalisées et révoquées.

Elles pourraient également demander si les appareils contactent des serveurs situés hors de Chine, quelles données quittent le réseau et quels membres du personnel peuvent accéder aux diagnostics. Aucune de ces demandes n’a encore été confirmée publiquement.

La politique finale pourrait aller d’exigences documentaires à des tests, des conditions d’achat, des obligations de localisation ou des restrictions à l’importation. L’annonce n’engage aujourd’hui la Chine sur aucun de ces résultats.

L’enquête exerce des pressions différentes sur les fournisseurs, les importateurs et les acheteurs

Le fardeau immédiat est l’incertitude, et chaque groupe concerné doit en gérer une version différente.

Pour les fabricants étrangers, le premier défi est le périmètre. Ils doivent déterminer quels modèles, packages logiciels, modalités de service et partenaires de la chaîne d’approvisionnement pourraient relever de l’enquête.

Le deuxième défi est celui des preuves. Les fournisseurs pourraient avoir besoin de dossiers techniques en chinois couvrant le développement, les tests, la maintenance, les flux de données, l’accès à distance et la gouvernance des mises à jour.

Les entreprises qui considèrent les imprimantes comme de simples appareils pourraient avoir du mal à réunir rapidement ce dossier. Les grands fournisseurs destinés aux entreprises sont plus susceptibles de disposer d’une documentation de sécurité mature, même si sa qualité varie selon les produits.

Le troisième défi concerne la planification produit. Les fabricants doivent décider s’ils doivent revoir leurs modalités logicielles avant la conclusion de l’enquête ou attendre des exigences plus claires.

Agir trop tôt pourrait augmenter les coûts sans satisfaire les régulateurs. Attendre trop longtemps pourrait laisser les modèles concernés mal préparés si la Chine impose des conditions techniques ou d’approvisionnement.

Les importateurs sont exposés différemment, car ils relient les fournisseurs étrangers au marché chinois. Ils pourraient devoir coordonner des dépôts, répondre à des questionnaires, conserver des dossiers et expliquer les configurations des produits.

Ils font également face à une incertitude commerciale. Les clients peuvent retarder leurs achats, demander des protections contractuelles ou rechercher des alternatives nationales avant même qu’une restriction formelle n’existe.

Les acheteurs chinois du secteur privé et du secteur public sont confrontés à des questions de continuité. Les parcs d’imprimantes peuvent rester déployés pendant des années et dépendent de consommables, de pièces de rechange, de pilotes et de logiciels de gestion.

Une décision d’achat crée donc une relation d’assistance de longue durée. Une enquête impliquant une maintenance étrangère peut affecter davantage que l’achat initial du matériel.

Les acheteurs devraient examiner les contrats au regard des obligations de mises à jour de sécurité, d’assistance aux audits, de traitement des données, d’accès à distance et d’évolution réglementaire. Ils devraient également éviter de considérer la nationalité d’une marque comme un substitut à l’évaluation d’un produit.

Les fabricants nationaux pourraient gagner en visibilité, mais ils font aussi face à des attentes plus élevées. Si la sécurité nationale devient un critère d’achat, les fournisseurs locaux devront démontrer une ingénierie sécurisée plutôt que de s’appuyer sur une préférence politique.

Ils pourraient devoir démontrer l’usage de mises à jour signées, la divulgation des vulnérabilités, la journalisation des accès, des paramètres par défaut renforcés et une diffusion fiable des correctifs. Les clients auront toujours besoin d’interopérabilité avec les systèmes existants et les flux de travail documentaires.

Cette pression peut remodeler la concurrence autour de la gouvernance logicielle. La qualité d’impression, la vitesse et l’économie des consommables restent importantes, mais les acheteurs pourraient accorder davantage de poids à la propriété du code et à la transparence de la maintenance.

L’impact sur le marché ne peut pas encore être mesuré à partir des documents publics. Le MOFCOM n’a pas publié de valeurs d’importation, de parts de fournisseurs, de volumes de produits ou de liste des entreprises participantes.

Affirmer que l’enquête touche toutes les imprimantes étrangères serait prématuré. Il en irait de même pour l’affirmation selon laquelle elle ne viserait que les marchés publics ou les appareils traitant des informations classifiées.

La catégorie publiée est large, tandis que toute mesure éventuelle pourrait être plus étroite. Les enquêteurs pourraient différencier les produits selon leur déploiement, leur fonction, leur architecture logicielle ou leurs contrôles de risque.

Rien n’indique publiquement que les appareils actuellement installés doivent être déconnectés. Les organisations devraient poursuivre leur gestion habituelle des vulnérabilités tout en surveillant les instructions officielles.

Cela signifie mettre à jour les firmwares pris en charge, modifier les identifiants par défaut, limiter l’accès administratif, désactiver les services inutilisés et séparer les imprimantes des systèmes sensibles lorsque cela est possible.

Les équipes de sécurité devraient vérifier si les appareils conservent des images de documents ou des historiques de travaux. Les politiques de stockage peuvent avoir leur importance lorsque les machines sont entretenues, réaffectées, retournées ou mises au rebut.

L’impression cloud mérite un examen distinct, car elle peut déplacer le traitement des documents au-delà du réseau local. Les acheteurs devraient identifier où circulent les données et quelles conditions de service les régissent.

Les diagnostics à distance requièrent également une attention particulière. Ils peuvent améliorer la fiabilité, mais un accès fournisseur non maîtrisé peut entrer en conflit avec des exigences strictes de sécurité ou de localisation.

Ces pratiques sont pertinentes quelle que soit l’issue de l’enquête. Elles traitent l’appareil lui-même tandis que les décideurs politiques examinent des questions plus larges de commerce et de dépendance.

L’ouverture de cette enquête s’inscrit aussi dans une tendance plus vaste, où les gouvernements évaluent les produits technologiques à travers des cadres de sécurité nationale. La Chine a précédemment examiné les produits Micron utilisés dans les infrastructures d’information critiques.

L’autorité chinoise de cybersécurité a ouvert cet examen en mars 2023 et a ensuite déclaré que les produits avaient échoué. Sa décision concernant Micron a ordonné aux opérateurs d’infrastructures critiques de cesser leurs achats.

La base juridique et la catégorie de produits diffèrent de l’enquête sur les imprimantes. L’affaire Micron doit donc servir de référence procédurale, et non de prévision du résultat.

Elle montre néanmoins qu’un examen technologique chinois peut passer de l’évaluation des risques à des conséquences sur les achats. Cet historique donne aux fabricants et aux acheteurs une raison de suivre cette enquête de près.

Ce que l’annonce ne prouve pas

L’enquête identifie une catégorie à examiner, mais elle n’établit pas publiquement l’existence d’une vulnérabilité, d’une intrusion, d’une fuite de données ou d’une action hostile d’un fournisseur.

Cette lacune de vérification doit guider toute interprétation. Le MOFCOM fait référence à des informations préliminaires, mais l’annonce ne fournit aucun rapport technique, modèle concerné, exploit ou incident documenté.

Sans ces éléments, les lecteurs ne peuvent évaluer la gravité, la prévalence, l’exploitabilité ou les mesures d’atténuation. Ils ne peuvent pas non plus déterminer si les préoccupations concernent l’accès aux données, l’intégrité du firmware, l’interruption d’approvisionnement ou un autre risque.

Une imprimante peut présenter des préoccupations de sécurité légitimes sans être compromise. Une mauvaise configuration, un firmware obsolète, des services exposés et des identifiants faibles peuvent créer des risques pour des produits provenant de nombreux pays.

Le développement à l’étranger peut ajouter des questions de juridiction et de dépendance. Il n’établit pas automatiquement qu’un logiciel contient un comportement malveillant ou qu’un fournisseur a abusé de son accès.

L’absence d’entreprises nommées limite également les conclusions concurrentielles. Aucun élément public ne montre que l’enquête a été conçue pour écarter un fabricant particulier de Chine.

L’annonce ne garantit pas non plus un vaste mandat de localisation. Après examen des soumissions du secteur, l’enquête pourrait aboutir à des exigences plus limitées de déclaration, de test ou d’achat.

Une autre incertitude concerne la proportionnalité. Une règle de sécurité nationale peut réduire les risques tout en imposant des coûts de changement, des problèmes de compatibilité et des perturbations de l’assistance.

Les autorités devront déterminer si une réponse proposée traite le risque identifié. Lorsque les preuves techniques permettent une différenciation, des contrôles propres à chaque produit peuvent être plus précis qu’une règle générale fondée sur l’origine.

La transparence sera importante. Les fabricants ont besoin de suffisamment de détails pour répondre aux allégations, et les acheteurs ont besoin de critères pouvant être traduits en décisions d’achat.

Des synthèses publiques des méthodes de test amélioreraient également la confiance. Une divulgation complète peut être impossible pour des raisons de sécurité, mais des conclusions inexpliquées peuvent rendre l’évaluation indépendante difficile.

La période d’enquête de 12 mois laisse du temps pour recueillir des preuves. Elle prolonge également l’incertitude sur les cycles d’achat et les feuilles de route des produits.

Les entreprises concernées pourraient demander un traitement confidentiel de leurs soumissions sensibles. Le MOFCOM autorise les parties à demander la confidentialité lorsque la divulgation entraînerait de graves effets défavorables.

Ces parties doivent fournir un résumé non confidentiel substantiel si la demande est acceptée. Ce mécanisme pourrait donner au public certaines informations sans exposer de détails de sécurité propriétaires.

Toutefois, le volume de documents utiles publiés pendant l’enquête reste inconnu. Des éléments techniques importants pourraient rester confidentiels.

Le processus pourrait également examiner la capacité intérieure de la Chine à remplacer les produits importés. Ce facteur est économiquement pertinent, mais ne peut à lui seul établir l’existence d’une faille de sécurité.

Une décision finale crédible devrait distinguer la capacité industrielle du risque au niveau de l’appareil. Mélanger ces questions sans raisonnement clair rendrait la norme de sécurité plus difficile à évaluer.

Les politiques de gouvernements étrangers constituent un autre sujet inscrit sur la liste. Elles permettent à l’enquête d’examiner les restrictions extérieures ou les mesures stratégiques qui affectent l’accès de la Chine aux produits et aux technologies.

Cette enquête peut traiter de la résilience de l’approvisionnement même lorsque les appareils eux-mêmes sont sécurisés. Un produit de confiance peut néanmoins devenir indisponible en raison de contrôles à l’exportation, de sanctions ou de décisions de fournisseurs.

Cela montre pourquoi l’affaire va au-delà des tests de vulnérabilité. La Chine examine à la fois la sécurité des technologies et la sécurité de la continuité de son accès à celles-ci.

Ces objectifs peuvent mener à des remèdes différents. Un risque technique peut appeler des tests, des correctifs, une segmentation ou un accès à distance limité.

Un risque d’approvisionnement peut appeler une diversification des sources, une maintenance locale, des produits de substitution ou un développement national. Le gouvernement n’a pas précisé quelle préoccupation pèse le plus.

Les lecteurs devraient se méfier des affirmations selon lesquelles l’issue est déjà arrêtée. Les éléments les plus solides disponibles restent l’annonce officielle d’ouverture, qui décrit une procédure toujours en cours.

Ce qu’il faut surveiller avant que la Chine ne rende sa décision

Les trois prochains signaux montreront s’il s’agit d’un examen de sécurité ciblé ou d’une mesure plus large de relocalisation technologique.

Le premier signal sera le questionnaire d’enquête ou toute autre orientation procédurale. Ses questions montreront quels éléments le MOFCOM considère comme pertinents.

Un questionnaire axé sur la signature des firmwares, l’accès à distance, la télémétrie, les vulnérabilités et le stockage de documents indiquerait une évaluation technique de la sécurité. Des demandes détaillées sur la propriété et le lieu de développement signaleraient des préoccupations liées à la dépendance.

Si le ministère interroge abondamment sur les parts de marché, la substitution nationale et les politiques de gouvernements étrangers, la résilience industrielle sera au cœur du dossier. L’équilibre entre ces thèmes définira l’affaire plus clairement que le titre de l’annonce initiale.

Le deuxième signal sera la composition des parties participantes. Des contributions identifiées de grands fabricants, importateurs, associations professionnelles ou acheteurs d’entreprise établiraient l’ampleur du marché concerné.

Les réponses des entreprises pourraient aussi préciser quels produits elles estiment couverts. Le silence ne prouverait pas une exclusion, car des échanges confidentiels peuvent avoir lieu.

Surveillez les engagements publics concernant des tests locaux, une maintenance localisée, l’examen du code source, des connexions cloud limitées ou des services de mise à jour contrôlés par la Chine. Ces mesures suggéreraient que les fournisseurs s’attendent à ce que la gouvernance logicielle façonne l’issue.

Le troisième signal sera toute orientation provisoire en matière d’achats publics ou toute décision finale. De nouvelles conditions d’achat affecteraient le marché avant une restriction globale des importations.

La certification des produits, la divulgation des logiciels, des canaux de mise à jour approuvés ou des limites de déploiement pourraient créer des voies de conformité. Une interdiction générale indiquerait que l’origine et la dépendance ont prévalu sur l’atténuation spécifique aux appareils.

L’échéance prévue de l’enquête est août 2027, sauf prolongation. Une décision pourrait intervenir plus tôt, mais l’annonce ne fournit aucun calendrier intermédiaire.

Les organisations devraient suivre l’avis officiel sur l’affaire, le Bureau des recours commerciaux et des enquêtes, ainsi que les communications de conformité de leurs fournisseurs.

Elles devraient également établir dès maintenant un inventaire précis de leurs appareils. Consignez les numéros de modèle, les versions de firmware, les pilotes, les connexions réseau, les sources de mise à jour, les dates de support et les environnements de déploiement.

Cet inventaire soutiendra les travaux de sécurité technique et toute réponse réglementaire ultérieure. Il évitera aussi des décisions précipitées fondées sur des hypothèses incomplètes concernant les machines qui contiennent des logiciels maintenus à l’étranger.

Les équipes de sécurité peuvent mettre à profit cette période d’attente pour tester la segmentation, supprimer les protocoles inutilisés, restreindre l’administration et examiner les paramètres de stockage des documents. Les équipes achats peuvent demander des conditions plus claires de gouvernance logicielle dans les nouveaux contrats.

Les fournisseurs étrangers devraient préparer des éléments distinguant les contrôles vérifiables des assurances générales. Les fournisseurs chinois devraient s’attendre au même niveau d’exigence si les acheteurs prennent au sérieux la justification liée à la sécurité.

La diffusion via RSSHub de 36Kr a peut-être fait connaître l’histoire à de nombreux lecteurs, mais la répétition dans les flux ne peut répondre aux questions décisives. Seules les procédures officielles et les preuves techniques peuvent définir le risque.

La Chine publiera-t-elle des critères permettant aux fournisseurs de démontrer la fiabilité de leurs logiciels, ou la maintenance étrangère deviendra-t-elle elle-même un facteur disqualifiant ? La réponse déterminera s’il s’agit d’un dossier de conformité en matière de sécurité ou d’un changement durable dans l’approvisionnement en technologies de bureau.