Le Costa Rica n’a pas demandé si le matériel était chinois

Le règlement adopté par le Costa Rica en 2023 est plus subtil qu’une interdiction visant directement Huawei.

Son point de départ reste technique. Les opérateurs 5G doivent évaluer les vulnérabilités de leurs réseaux, contrôler les accès, appliquer des standards de cybersécurité, auditer leurs systèmes et diversifier leurs chaînes d’approvisionnement. Le recours excessif à un fournisseur unique constitue lui-même un facteur de risque.

Mais l’analyse ne s’arrête pas aux caractéristiques de l’équipement.

Le règlement demande également si un fournisseur peut subir la pression d’un gouvernement étranger, si le droit de son pays d’origine peut l’obliger à communiquer certaines données sans procédure suffisamment transparente et s’il est établi dans un État ayant accepté d’être lié par la Convention de Budapest sur la cybercriminalité.

Le déplacement est important : le Costa Rica ne contrôle plus seulement ce que vend l’entreprise ; il évalue aussi l’environnement juridique dans lequel cette entreprise opère.

Huawei et la Chine ne sont pas nommés. Le critère est formulé de manière impersonnelle. Mais ses conséquences géopolitiques sont loin d’être neutres : la Chine n’appartient pas à l’écosystème de Budapest, contrairement à une grande partie des partenaires occidentaux du Costa Rica. San José a donc évité d’inscrire une préférence géopolitique dans une liste de nationalités autorisées ; il l’a inscrite dans les caractéristiques de l’ordre juridique auquel le fournisseur doit appartenir.

Un fournisseur reste lié à l’ordre juridique de son État

Cette approche repose sur une caractéristique particulière des infrastructures numériques.

Un équipementier télécom n’est pas un fournisseur qui disparaît une fois le matériel livré. Il peut continuer à assurer des mises à jour logicielles, intervenir dans la maintenance, participer à l’intégration du réseau ou conserver un accès à certaines fonctions de gestion. Le règlement costaricien adopte d’ailleurs une définition large de la chaîne d’approvisionnement, qui peut inclure fabricants, fournisseurs cloud, intégrateurs ou prestataires de sécurité et de maintenance.

Dans ces conditions, une analyse purement technique est incomplète.

La question n’est plus seulement de savoir si un équipement présente aujourd’hui une vulnérabilité. Elle consiste aussi à déterminer dans quelles conditions l’entreprise susceptible d’intervenir demain sur cet équipement pourrait être contrainte par son propre État.

C’est là que le droit devient un élément de cybersécurité.

Deux fournisseurs proposant des équipements techniquement comparables peuvent présenter des profils de risque différents si l’un évolue dans un système offrant des garanties procédurales fortes sur l’accès aux données tandis que l’autre peut être soumis à des obligations de coopération beaucoup plus difficiles à contester ou à rendre transparentes.

Le Costa Rica n’invente pas entièrement cette logique. Les politiques européennes relatives aux fournisseurs 5G à haut risque intègrent elles aussi des facteurs non techniques, notamment le degré de contrôle qu’un État tiers peut exercer sur un fournisseur. La particularité costaricienne consiste à avoir donné à cette compatibilité juridique un indicateur de droit international : la Convention de Budapest.

Budapest est un indicateur de confiance, pas un certificat de sécurité

C’est également le point le plus contestable du dispositif.

La Convention de Budapest n’a pas été conçue pour certifier les antennes ou les équipements 5G. Elle porte sur la cybercriminalité, les procédures d’enquête numérique et la coopération internationale en matière de preuves électroniques. Aucun de ses articles ne permet donc de conclure directement qu’un équipement Ericsson, Nokia ou Huawei est techniquement sûr.

L’objection formulée contre le règlement est donc sérieuse : pourquoi l’adhésion à un traité de coopération judiciaire devrait-elle intervenir dans la sélection d’un équipementier télécom ?

La réponse du modèle costaricien est que Budapest ne fonctionne pas comme une certification technique. Il sert plutôt de proxy de compatibilité juridique. L’appartenance au régime renseigne sur l’acceptation d’un ensemble de procédures de coopération, de garanties et de mécanismes relatifs aux preuves électroniques. Le Costa Rica lui-même a renforcé cette intégration en ratifiant en avril 2026 le deuxième protocole additionnel à la Convention.

Mais le raisonnement possède une limite claire.

Un fournisseur provenant d’un État partie à Budapest peut être vulnérable, mal gouverné ou techniquement déficient. À l’inverse, une entreprise située dans un État extérieur au régime peut produire un équipement performant et disposer de procédures internes robustes. L’adhésion au traité ne peut donc constituer qu’un élément de l’analyse.

La distinction est essentielle :

« l’environnement juridique du fournisseur fait partie du risque » n’équivaut pas à « l’appartenance à Budapest suffit à établir la confiance ».

Le règlement reste défendable précisément parce qu’il combine ce critère avec des audits, des standards techniques, une analyse de la chaîne d’approvisionnement et des exigences de diversification. Le droit international peut éclairer l’évaluation technique ; il ne peut pas s’y substituer.

La souveraineté consiste aussi à choisir ses dépendances

Le choix costaricien a désormais produit un résultat industriel concret.

En avril 2026, l’Instituto Costarricense de Electricidad a attribué à Ericsson le développement de son réseau 5G, tandis qu’un consortium associé à Nokia obtenait certains équipements et services complémentaires. L’offre retenue pour Ericsson se situait environ 100 millions de dollars sous le budget initialement envisagé. L’exclusion pratique de Huawei n’a donc pas empêché le déploiement du réseau ni provoqué mécaniquement une explosion du coût de l’adjudication concernée.

Cela ne démontre pas pour autant que le même dispositif devrait être reproduit sans précaution ailleurs. Réduire excessivement le nombre de fournisseurs admissibles peut diminuer une dépendance tout en en créant une autre. Prix, concurrence à long terme, capacité de maintenance, diversité technologique et concentration du marché restent donc des variables à surveiller.

Le véritable intérêt du cas costaricien se situe ailleurs.

San José aurait pu interdire explicitement Huawei, reprendre une liste américaine de fournisseurs à haut risque ou réserver certains marchés aux entreprises de pays alliés. Il a choisi de définir les propriétés juridiques de l’environnement dans lequel il accepte de placer ses infrastructures critiques.

Cette solution n’est pas parfaitement neutre dans ses conséquences. Elle est néanmoins plus généralisable qu’une exclusion fondée directement sur la nationalité : un fournisseur occidental pourrait théoriquement devenir problématique s’il était soumis à des pressions gouvernementales incompatibles avec les critères du règlement ; inversement, l’évolution de l’environnement juridique d’un autre État pourrait modifier son appréciation.

C’est ce qui permet de revenir à une conception plus réaliste de la souveraineté numérique.

Un État de la taille du Costa Rica ne produira pas seul ses semi-conducteurs, ses stations radio, ses logiciels et l’ensemble des équipements de son réseau. Son autonomie ne peut donc pas signifier l’absence de dépendance.

Elle consiste davantage à choisir les conditions dans lesquelles cette dépendance devient acceptable : quels fournisseurs, sous quelles règles, avec quelles garanties procédurales et dans quel système de coopération internationale.

Le Costa Rica a ainsi transformé une question apparemment technique — sélectionner un équipementier 5G — en une décision sur l’environnement juridique auquel il accepte de rendre une infrastructure critique dépendante.

La question décisive n’est donc pas de savoir si le critère de Budapest est juridique ou géopolitique. Son intérêt vient précisément du fait qu’il est les deux.