LI Lorsque votre réseau central est externalisé ou hébergé

L'externalisation de l'infrastructure réseau centrale est devenue une stratégie de plus en plus courante pour les MVNO et les petits opérateurs qui cherchent à réduire leurs dépenses d'investissement et à accélérer la mise sur le marché. Les réseaux centraux hébergés dans le cloud, les offres « Network-as-a-Service » (NaaS) et les services gérés de réseau central permettent aux opérateurs de se lancer et de se développer sans avoir à réaliser les investissements considérables nécessaires à la mise en place et à l’exploitation de leur propre infrastructure centrale. Cependant, ce modèle architectural pose des défis spécifiques en matière d’interception légale que les opérateurs doivent relever pour maintenir conformité réglementaire.

When the core network is outsourced, the technical capability to intercept communications resides with the infrastructure provider, while the operator keeps legal duties of its own. This article examines the challenges this creates, the models for addressing them, and the practical steps operators should take to ensure compliance when their core network is hosted or managed by a third party.

LI avec un réseau central externalisé

The fundamental challenge of outsourced core networks for LI is the separation of the legal obligation from the technical capability. The operator — as the registered provider of public electronic communications services — keeps legal LI duties. But the interception points, the network functions that process subscriber communications, and the infrastructure needed to capture and deliver intercepted data are operated by a third party.

Cette distinction est plus marquée que dans la relation traditionnelle entre MVNO et MNO, où ce dernier reconnaît au moins qu’il exploite un réseau de télécommunications assorti d’obligations réglementaires inhérentes. Les fournisseurs d’hébergement de réseaux centraux peuvent provenir du secteur des infrastructures informatiques ou du cloud computing et ne pas avoir une connaissance approfondie des exigences réglementaires en matière de télécommunications, notamment en ce qui concerne l’interception légale. L’opérateur ne peut pas partir du principe que le fournisseur d’hébergement a pris en compte l’interception légale dans la conception de son infrastructure ou dans ses processus opérationnels.

Outsourcing infrastructure rarely removes your own obligations. Depending on national law and on who actually operates the core, the hosting provider may become obliged as well (in Germany the duty follows whoever operates the installation, § 170 TKG), but you remain responsible for your own Conformité LI duties and for choosing a provider that can implement orders. Regulators will not accept dependency on a third party as an excuse for non-compliance.

Modèles d'hébergement du réseau central et implications pour la LI

Les implications pour le LI dépendent du modèle d’hébergement spécifique. Dans un modèle d’hébergement dédié, l’opérateur dispose de sa propre instance des fonctions du réseau central, fonctionnant sur l’infrastructure du fournisseur d’hébergement. L'opérateur peut disposer d'un accès administratif pour configurer les fonctions réseau, y compris les paramètres liés à la LI. Dans ce modèle, l'opérateur peut potentiellement déployer sa propre fonction de médiation LI et l'interfacer avec les fonctions réseau hébergées, sous réserve de la coopération du fournisseur d'hébergement en matière de connectivité et d'accès au réseau.

Dans un modèle partagé ou multi-locataires, l’opérateur partage des instances de fonctions du réseau central avec d’autres locataires du fournisseur d’hébergement. Ce modèle est plus économique, mais il complique davantage la mise en œuvre de l’interception légale (LI), car celle-ci doit être isolée aux abonnés de l’opérateur concerné sans affecter le trafic des autres locataires. Le fournisseur d’hébergement doit mettre en œuvre une solution tenant compte des locataires capacités d'interception that can segregate traffic by operator, and label every delivery with the identifier of the operator that is legally performing the intercept, so that one tenant’s intercepts are never attributed to another.

Dans un modèle entièrement géré, le fournisseur d'hébergement exploite le réseau central pour le compte de l'opérateur, en prenant en charge l'ensemble des tâches de configuration, de maintenance et d'exploitation. L'opérateur dispose d'un accès direct limité, voire inexistant, aux fonctions du réseau. Dans ce modèle, l'opérateur doit s'en remettre entièrement au fournisseur d'hébergement pour la mise en œuvre et l'exécution des capacités LI, ce qui nécessite des dispositions contractuelles exhaustives et des solutions techniques validées.

Exigences contractuelles

Le contrat entre l’opérateur et le fournisseur d’hébergement du réseau central constitue le principal outil permettant de garantir la conformité aux exigences en matière d’interception légale dans un modèle d’externalisation. Ce contrat doit aborder explicitement la question de l’interception légale, en précisant l’obligation du fournisseur d’hébergement de prendre en charge les fonctionnalités d’interception légale au sein de l’infrastructure hébergée, les interfaces spécifiques d’interception légale qui doivent être mises en œuvre et prises en charge, les délais de réponse pour l'activation et la désactivation des interceptions, les exigences de sécurité et de confidentialité relatives au traitement des données interceptées, les droits d'audit et de test de l'opérateur, le processus de mise en œuvre des mises à jour réglementaires et des nouvelles exigences en matière d'interception légale, ainsi que la répartition des responsabilités en cas de défaillance de l'interception légale.

Operators should not accept generic language or vague commitments regarding LI support. The contract should specify the concrete technical and operational deliverables that the hosting provider must supply, and should include measurable service levels with meaningful penalties for non-performance. LI compliance is a legal obligation backed by substantial fines (in Germany up to EUR 500,000 for not holding the required interception facilities, § 228 TKG), and the contractual arrangements must reflect this seriousness.

Options d'architecture technique

Several technical architecture options can address LI in an outsourced core network environment. The first option is the operator-managed model, where the operator deploys its own LI management system (LIMS) et Plateforme de médiation LI: the LIMS provisions the hosted network functions over X1, and the mediation platform receives their X2/X3 output (ETSI TS 103 221 and 3GPP TS 33.127, used for 4G, IMS and 5G) or a vendor-specific equivalent. This requires the hosted network functions to expose LI interfaces that the operator’s mediation platform can consume. The operator retains control over gestion des mandats, la transmission des données et les interfaces de transfert vers les services de police.

La deuxième option est le modèle LI géré par le fournisseur d'hébergement, dans lequel ce dernier déploie et exploite l'infrastructure LI dans le cadre du service de réseau central hébergé. Le fournisseur d’hébergement se charge, pour le compte de l’opérateur, de l’activation de l’interception, de la collecte des données et de leur transmission aux forces de l’ordre. Ce modèle simplifie les exigences techniques de l’opérateur, mais nécessite une grande confiance envers le fournisseur d’hébergement ainsi que des dispositions contractuelles et d’audit exhaustives.

The third option is a hybrid model, where certain LI functions are provided by the hosting provider (such as the points of interception within the network functions) and others are managed by the operator (such as the mediation function and handover interfaces). This model can provide a practical balance between operator control and hosting provider capability.

Considérations relatives à la sécurité

La sécurité des données interceptées dans un environnement externalisé nécessite une attention particulière. Les communications interceptées comptent parmi les types de données les plus sensibles dans toute opération de télécommunications, et leur protection est à la fois une obligation légale et une nécessité pratique. Dans un modèle externalisé, les données interceptées peuvent transiter par l'infrastructure du fournisseur d'hébergement, ce qui crée des points de vulnérabilité supplémentaires qu'il convient de sécuriser.

The operator should ensure that intercepted data is encrypted in transit, and that any buffer that holds it before delivery is encrypted and kept no longer than delivery requires (in Germany, storing the content of the interception copy is not permitted, § 10 TKÜV). Access to LI systems and data should be strictly controlled and limited to authorised personnel, with comprehensive audit logging. The hosting provider’s personnel should be subject to appropriate vetting and confidentiality requirements. Physical security of the data centre hosting the LI infrastructure should meet the standards required by the national regulatory framework.

The operator should also consider the jurisdictional implications of hosting intercepted data in a third-party data centre. If the data centre is located in a different country from the operator’s home market, questions about data sovereignty, cross-border data transfers, and the applicability of foreign legal regimes may arise. Some countries settle this by law: in Germany the equipment that controls interception and the handover point must be operated in Germany (§ 14(1) TKÜV), and France requires LI systems to be installed on French territory (CPCE art. D. 98-7). Check the location rules of each market before choosing the hosting site. Operators should ensure that the location of the hosting infrastructure is compatible with their regulatory obligations and that appropriate data protection safeguards are in place.

Tests et validation

Quel que soit le modèle technique retenu, l’opérateur doit valider la capacité d’interception (LI) au moyen de tests de bout en bout. Ces tests doivent couvrir tous les scénarios d’interception requis par le cadre national, y compris l’interception des communications vocales, des SMS et des données, en utilisant diverses méthodes d’identification des cibles. Ces tests doivent vérifier non seulement que les interceptions peuvent être activées et que les données sont transmises, mais aussi que les temps de réponse, la qualité des données et la sécurité répondent aux normes requises.

Le processus de test doit associer l'autorité technique nationale ou le LEMF lorsque cela est nécessaire, et doit être mené dans des conditions représentatives de l'environnement de production. Les opérateurs doivent prévoir plusieurs itérations de test et conserver la documentation relative à ces tests comme preuve de conformité.

Conclusion

Outsourcing the core network rarely outsources your own lawful interception obligations. Operators using hosted or managed core network services must proactively address LI compliance through comprehensive contractual arrangements, validated technical solutions, and rigorous testing. The specific approach will depend on the hosting model, the operator’s technical capabilities, and the requirements of the national regulatory framework. By treating LI compliance as a first-class requirement in the core network hosting decision — not an afterthought — operators can achieve the cost and efficiency benefits of outsourcing while maintaining full compliance with their lawful interception obligations.

Critères de sélection des fournisseurs

Lors du choix d’un fournisseur d’hébergement de réseau central, les opérateurs doivent considérer la capacité LI comme un critère d’évaluation clé, au même titre que les performances, l’évolutivité et le coût. Renseignez-vous auprès des fournisseurs d’hébergement potentiels sur leurs capacités LI existantes et leur expérience en la matière. Prise-t-ils actuellement en charge la LI pour d’autres opérateurs clients ? Quelles interfaces LI exposent-ils à partir de leurs fonctions réseau ? Disposent-ils d’intégrations validées avec des fournisseurs de plateformes de médiation LI ? Quel est leur historique en matière de prise en charge des mises à jour réglementaires et des nouvelles exigences LI ? Un hébergeur incapable de démontrer des capacités et une expérience significatives en matière de LI représente un risque de conformité important, quelle que soit l’attractivité de son offre commerciale.

Les opérateurs doivent également évaluer la volonté et la capacité du fournisseur d’hébergement à les accompagner tout au long du processus de test et de certification de la LI auprès de l’autorité technique nationale. Ce processus nécessite généralement une collaboration étroite entre l’opérateur, le fournisseur d’hébergement et, éventuellement, le fournisseur de la plateforme de médiation LI. Un hébergeur réactif, doté des compétences techniques nécessaires et déterminé à soutenir la mise en conformité avec les exigences LI constituera un partenaire bien plus précieux qu’un hébergeur qui considère ces exigences comme une préoccupation secondaire. Le choix de l’hébergeur a des implications à long terme sur la capacité de l’opérateur à maintenir la conformité aux exigences LI à mesure que la réglementation évolue, et ce facteur doit être pris en compte de manière appropriée dans le processus de sélection.

La gestion de l'interception légale (LI) dans le cadre d'un réseau central externalisé nécessite des cadres contractuels clairs et des vérifications régulières de la conformité. L'accord relatif au réseau central externalisé doit comporter des dispositions explicites concernant l'interception légale.

Articles connexes

Pour en savoir plus sur des sujets connexes, consultez les articles suivants :

Ressources externes

Les ressources externes suivantes fournissent un contexte supplémentaire et une documentation officielle :

Normes d'interception légale de l'ETSI