Quand on parle de l’Internet des Objets, on pense immédiatement à l’innovation : montres connectées, capteurs industriels, voitures intelligentes, dispositifs médicaux ou encore infrastructures critiques. Derrière cette révolution silencieuse, il y a un dénominateur commun : la connectivité radio. Les objets échangent, communiquent, s’authentifient et transmettent en permanence via Wi-Fi, Bluetooth, Zigbee, LoRa, 4G&5G, GPS ou encore le NB-IoT.
Or, depuis des décennies, les autorités de régulation ont encadré ces technologies à travers un prisme avant tout radiofréquence (RF). On vérifie la puissance d’émission, on s’assure que les bandes de fréquences sont respectées, on contrôle les risques de brouillage ou d’interférences. Bref, la réglementation historique s’est concentrée sur la maîtrise du spectre, garantissant une certaine « hygiène radio ».
Mais cette approche, aussi nécessaire soit-elle, est aujourd’hui insuffisante. Car ce qui menace désormais les objets connectés, ce n’est pas uniquement une interférence ou un brouillage. Ce sont aussi des attaques logicielles sophistiquées qui exploitent les failles dans les protocoles, dans les firmwares, dans les mises à jour logicielles. Autrement dit : un objet peut être parfaitement conforme aux normes RF tout en étant une passoire en cybersécurité.
Le paradoxe des objets « conformes mais vulnérables »
On a vu apparaître une génération d’équipements IoT qui respectent les règles techniques du spectre mais qui, du point de vue de la cybersécurité, représentent des portes d’entrée ouvertes pour des attaques massives. L’exemple du botnet Mirai est resté dans les mémoires : des centaines de milliers de caméras connectées et de routeurs domestiques, tous techniquement conformes, ont été détournés pour lancer l’une des plus grandes attaques DDoS jamais observées.
Cette dissociation entre conformité RF et cybersécurité, alimente une illusion de sécurité qui, en réalité, fragilise tout l’écosystème IoT : les organismes d’évaluation continuent d’évaluer les équipements uniquement sur des critères radio, tandis que les attaques réelles combinent aujourd’hui les deux dimensions. Un brouillage ciblé peut précéder une intrusion logicielle. Une faille RF sur un protocole faible peut être la porte d’entrée vers une compromission totale d’un réseau.
Une prise de conscience progressive mais encore incomplète
Certaines régions du monde ont commencé à combler ce vide réglementaire. L’Union européenne, par exemple, a adopté une directive déléguée en 2022 qui a rendu obligatoire, depuis août 2025, l’intégration de la cybersécurité dans la certification des équipements radio. Cela signifie qu’un objet devra non seulement respecter les seuils RF, mais aussi démontrer qu’il protège les données, qu’il résiste aux accès non autorisés et qu’il intègre un mécanisme de mise à jour de sécurité.
Des normes comme ETSI EN 303 645 ou ISO/IEC 27400 posent déjà les bases techniques de cette convergence. Mais la vérité, c’est que la majorité des marchés émergents, en Afrique comme ailleurs, continuent encore à homologuer des équipements uniquement sur des critères RF. On contrôle les fréquences, mais rarement les mots de passe codés en dur, les mises à jour non sécurisées ou les backdoors dans le firmware.
L’ère des menaces hybrides : pourquoi la convergence est vitale
Aujourd’hui, la réalité est claire : les menaces sont hybrides. Un attaquant ne choisit pas entre une faille radio et une faille logicielle. Il combine les deux.
Un drone civil peut être neutralisé en brouillant son GPS (couche RF), mais aussi en injectant un code malveillant via sa liaison Wi-Fi (couche cyber). Un pacemaker connecté peut être conforme sur le plan RF, mais vulnérable à une reprogrammation non autorisée. Des capteurs industriels LoRaWAN peuvent subir un brouillage de signal en même temps qu’une compromission du serveur d’application qui centralise leurs données.
Séparer le RF de la cybersécurité, c’est refuser de voir que ces couches ne sont plus indépendantes mais intimement liées. La convergence réglementaire n’est donc pas un luxe : c’est une nécessité vitale.
Vers une régulation intégrée : les défis à relever
Construire un cadre réglementaire unifié RF + cybersécurité suppose plusieurs évolutions profondes.
D’abord, il faut faire évoluer le rôle des organismes d’évaluation. Ils ne peuvent plus se contenter de mesurer des spectres et des puissances d’émission. Ils doivent intégrer des tests de cybersécurité : analyse de firmware, vérification des mécanismes d’authentification, audit des mises à jour OTA. Cela suppose de nouvelles compétences, de nouveaux outils et des équipes hybrides capables de dialoguer à la fois avec le langage RF et avec celui de la cybersécurité.
Ensuite, les fabricants devront assumer une nouvelle responsabilité : celle d’assurer la sécurité de leurs produits sur tout leur cycle de vie. Une certification obtenue le jour du lancement ne suffit pas. Les vulnérabilités apparaissent avec le temps et doivent être corrigées. Cela implique des mises à jour continues, documentées et conformes aux bonnes pratiques.
Enfin, il faudra instaurer une véritable surveillance post-marché, où les autorités de régulation ne se limitent pas à délivrer un certificat, mais s’assurent que l’équipement continue de respecter ses engagements de sécurité au fil des années.
L’enjeu de souveraineté pour les pays émergents
Pour les pays émergents, cette convergence n’est pas qu’une question technique : c’est une question de souveraineté. Continuer à importer des équipements qui respectent la réglementation RF mais qui sont truffés de failles logicielles revient à ouvrir des portes dérobées dans nos réseaux critiques.
Dans de nombreux pays africains, où l’IoT se déploie rapidement dans la domotique, l’agriculture, la santé, mais aussi dans les services financiers et les infrastructures critiques, il devient stratégique de développer des capacités d’évaluation permettant de tester non seulement le respect des fréquences, mais aussi la robustesse logicielle et la sécurité des communications. Sans cette double compétence, le continent risque de devenir dépendant d’équipements importés, souvent vulnérables, qui exposent nos réseaux et nos données à des menaces extérieures. Développer cette expertise localement, c’est non seulement renforcer la confiance dans l’écosystème numérique africain, mais aussi affirmer une véritable souveraineté technologique face aux enjeux mondiaux.
Conclusion : bâtir le pont manquant
L’IoT ne peut pas continuer à être régulé en silos. Il ne s’agit plus de choisir entre spectre et logiciel. Les attaques de demain frapperont là où les deux se rejoignent.
La convergence RF et cybersécurité est donc le maillon manquant. Elle permettra de bâtir une régulation moderne, cohérente et adaptée aux défis réels. Elle exigera des efforts considérables, mais elle apportera en retour une confiance durable dans l’écosystème IoT.
C’est précisément ce défi qui me passionne : créer ce pont entre le monde des télécoms et celui de la cybersécurité, faire en sorte que l’innovation technologique reste un levier de progrès et non une source de vulnérabilité. Mon expérience en ingénierie radio et en régulation, combinée à ma spécialisation en cybersécurité, me conforte dans une conviction : les pays qui sauront anticiper cette convergence prendront une longueur d’avance. Non seulement pour protéger leurs citoyens et leurs entreprises, mais aussi pour affirmer leur souveraineté numérique.