{"id":2162,"date":"2026-07-15T08:00:00","date_gmt":"2026-07-15T07:00:00","guid":{"rendered":"https:\/\/ic-services.io\/?p=2162"},"modified":"2026-10-21T14:13:16","modified_gmt":"2026-10-21T13:13:16","slug":"li-conformite-en-tant-que-service-sla-li","status":"publish","type":"post","link":"https:\/\/ic-services.io\/fr\/resources\/blog\/li-compliance-as-a-service-sla\/","title":{"rendered":"LI Compliance as a Service : Quels accords de niveau de service devez-vous r\u00e9ellement exiger ?"},"content":{"rendered":"

Le interception l\u00e9gale contr\u00f4l\u00e9e<\/a> Ce mod\u00e8le \u2014 souvent commercialis\u00e9 sous l\u2019appellation \u00ab LI Compliance as a Service \u00bb \u2014 a connu un succ\u00e8s consid\u00e9rable aupr\u00e8s des MVNO, des petits op\u00e9rateurs et des nouveaux entrants sur le march\u00e9 qui ne disposent pas des ressources internes, de l\u2019expertise ou de l\u2019envergure n\u00e9cessaires pour mettre en place et exploiter leur propre infrastructure d\u2019interception. Dans le cadre de ce mod\u00e8le, un prestataire sp\u00e9cialis\u00e9 d\u00e9ploie, exploite et assure la maintenance du syst\u00e8me d\u2019interception l\u00e9gale pour le compte de l\u2019op\u00e9rateur, en prenant en charge l\u2019ensemble du processus, du traitement des mandats \u00e0 la transmission des donn\u00e9es aux forces de l\u2019ordre. Les avantages sont \u00e9vidents : r\u00e9duction des d\u00e9penses d\u2019investissement, mise en conformit\u00e9 plus rapide et acc\u00e8s \u00e0 une expertise sp\u00e9cialis\u00e9e sans avoir \u00e0 constituer une \u00e9quipe interne d\u00e9di\u00e9e \u00e0 l\u2019interception l\u00e9gale.<\/p>\n\n\n\n

Cependant, l\u2019externalisation des op\u00e9rations LI n\u2019entra\u00eene pas l\u2019exon\u00e9ration de la responsabilit\u00e9 juridique. L\u2019op\u00e9rateur reste l\u00e9galement responsable du respect des obligations d\u2019interception, et tout manquement de la part du prestataire de services g\u00e9r\u00e9s rejaillit directement sur l\u2019op\u00e9rateur. Cela fait de l\u2019accord de niveau de service (SLA) entre l\u2019op\u00e9rateur et le prestataire de services LI g\u00e9r\u00e9s l\u2019un des contrats les plus importants que l\u2019op\u00e9rateur aura \u00e0 signer. Pourtant, de nombreux op\u00e9rateurs \u2014 en particulier ceux qui d\u00e9couvrent le domaine de l\u2019interception l\u00e9gale \u2014 acceptent des SLA g\u00e9n\u00e9riques sans comprendre pleinement ce dont ils ont besoin, ce qu\u2019ils devraient exiger et o\u00f9 se situent les v\u00e9ritables risques.<\/p>\n\n\n\n

Cet article propose un guide d\u00e9taill\u00e9 des clauses du contrat de niveau de service (SLA) que les op\u00e9rateurs devraient exiger lors de l'acquisition de services LI g\u00e9r\u00e9s, en s'appuyant sur les exigences pratiques li\u00e9es \u00e0 l'exercice d'activit\u00e9s sur les march\u00e9s europ\u00e9ens r\u00e9glement\u00e9s.<\/p>\n\n\n\n

Warrant Activation Time<\/h2>\n\n\n\n

The single most critical SLA metric for managed LI services is the warrant activation time \u2014 the elapsed time from the receipt of a valid interception order to the activation of the intercept and the commencement of data delivery to law enforcement. National rules usually require activation without undue delay rather than a fixed number of hours. Germany, for example, requires 24\/7 telephone reachability and acceptance of orders outside business hours within six hours (\u00a7 12 TK\u00dcV). Turn these rules into measurable SLA targets.<\/p>\n\n\n\n

Le SLA doit pr\u00e9ciser le d\u00e9lai d\u2019activation maximal pour les commandes standard et urgentes, en d\u00e9finissant clairement ce qui caract\u00e9rise chaque cat\u00e9gorie. Pour les commandes urgentes \u2014 celles n\u00e9cessitant une activation imm\u00e9diate \u2014, le SLA doit pr\u00e9voir une activation en quelques heures, et non en quelques jours. Le SLA doit \u00e9galement d\u00e9finir comment le d\u00e9lai d\u2019activation est mesur\u00e9 : \u00e0 partir du moment o\u00f9 la commande est re\u00e7ue par le fournisseur de services g\u00e9r\u00e9s, \u00e0 partir du moment o\u00f9 elle est valid\u00e9e, ou \u00e0 partir du moment o\u00f9 la cible est identifi\u00e9e sur le r\u00e9seau. Chaque d\u00e9finition conduit \u00e0 un d\u00e9lai d\u2019activation effectif diff\u00e9rent, et l\u2019op\u00e9rateur doit insister pour que la d\u00e9finition retenue soit conforme aux attentes r\u00e9glementaires.<\/p>\n\n\n\n

Les p\u00e9nalit\u00e9s pr\u00e9vues en cas de d\u00e9passement du d\u00e9lai d'activation doivent \u00eatre significatives. Une p\u00e9nalit\u00e9 financi\u00e8re insignifiante par rapport \u00e0 la valeur du contrat n'incite gu\u00e8re le prestataire \u00e0 respecter l'objectif fix\u00e9. Les op\u00e9rateurs doivent n\u00e9gocier des p\u00e9nalit\u00e9s \u00e0 la mesure de la gravit\u00e9 de l'obligation \u2014 y compris, dans les cas extr\u00eames, le droit de r\u00e9silier le contrat si les d\u00e9lais d'activation ne sont pas respect\u00e9s de mani\u00e8re syst\u00e9matique.<\/p>\n\n\n\n

Disponibilit\u00e9 et temps de fonctionnement du syst\u00e8me<\/h2>\n\n\n\n

The LI system must be available continuously. Downtime beyond the short buffering window loses interception data, which can compromise law enforcement investigations and expose the operator to regulatory sanctions. The SLA should specify a minimum availability target that matches the availability of the network service being intercepted (in Germany \u00a7 6(2) TK\u00dcV requires this as far as reasonably achievable), typically 99.9% or higher, and should define how availability is measured, including whether planned maintenance windows are excluded from the calculation.<\/p>\n\n\n\n

Le SLA doit \u00e9galement pr\u00e9ciser la dur\u00e9e maximale acceptable d'indisponibilit\u00e9 pour un incident isol\u00e9, ainsi que la dur\u00e9e maximale cumul\u00e9e d'indisponibilit\u00e9 au cours d'une p\u00e9riode de mesure. Un syst\u00e8me qui atteint une disponibilit\u00e9 annuelle de 99,91 % (TP8T) mais subit une seule interruption de 8 heures peut ne pas r\u00e9pondre aux besoins de l\u2019op\u00e9rateur, m\u00eame s\u2019il respecte l\u2019objectif global. Les op\u00e9rateurs doivent d\u00e9finir \u00e0 la fois des objectifs de disponibilit\u00e9 globaux et par incident.<\/p>\n\n\n\n

Le SLA doit inclure des dispositions relatives \u00e0 la redondance et \u00e0 la bascule. Le fournisseur de services g\u00e9r\u00e9s doit exploiter une infrastructure redondante dot\u00e9e de capacit\u00e9s de bascule automatique, et le SLA doit pr\u00e9ciser l\u2019objectif de temps de reprise (RTO) et l\u2019objectif de point de reprise (RPO) pour diff\u00e9rents sc\u00e9narios de panne. L\u2019op\u00e9rateur doit v\u00e9rifier que l\u2019architecture de redondance du prestataire est r\u00e9elle \u2014 et ne consiste pas simplement en un syst\u00e8me de secours dont l\u2019activation n\u00e9cessite une intervention manuelle.<\/p>\n\n\n\n

Exhaustivit\u00e9 et qualit\u00e9 des donn\u00e9es<\/h2>\n\n\n\n

La SLA doit porter sur l'exhaustivit\u00e9 et la qualit\u00e9 des donn\u00e9es intercept\u00e9es. Cela concerne \u00e0 la fois l'IRI et le CC. L'exhaustivit\u00e9 de l'IRI signifie que tous les \u00e9v\u00e9nements de m\u00e9tadonn\u00e9es requis sont g\u00e9n\u00e9r\u00e9s pour chaque communication intercept\u00e9e, et que tous les champs de donn\u00e9es obligatoires sont renseign\u00e9s avec pr\u00e9cision. L'exhaustivit\u00e9 du CC signifie que le contenu de chaque communication intercept\u00e9e est captur\u00e9 et transmis sans lacunes, sans pertes ni alt\u00e9rations.<\/p>\n\n\n\n

Measuring data completeness in a managed LI environment can be challenging, as the operator may not have direct visibility into the interception process. The SLA should therefore include provisions for regular quality audits, in which the operator or an independent third party verifies completeness and accuracy using test targets and test calls (never live measures) against reference test scenarios. The frequency and methodology of these audits should be specified in the SLA.<\/p>\n\n\n\n

Les probl\u00e8mes de qualit\u00e9 des donn\u00e9es identifi\u00e9s lors d'audits ou signal\u00e9s par les forces de l'ordre doivent faire l'objet de processus de correction et de d\u00e9lais bien d\u00e9finis. Le contrat de niveau de service (SLA) doit pr\u00e9ciser le d\u00e9lai maximal dont dispose le prestataire de services g\u00e9r\u00e9s pour enqu\u00eater sur les probl\u00e8mes de qualit\u00e9 des donn\u00e9es et y rem\u00e9dier, et doit inclure des proc\u00e9dures d'escalade pour les probl\u00e8mes de qualit\u00e9 persistants ou graves.<\/p>\n\n\n\n

S\u00e9curit\u00e9 et confidentialit\u00e9<\/h2>\n\n\n\n

Le prestataire de services g\u00e9r\u00e9s traite certaines des donn\u00e9es les plus sensibles de l'ensemble des activit\u00e9s de l'op\u00e9rateur. Le contrat de niveau de service (SLA) doit inclure des dispositions de s\u00e9curit\u00e9 exhaustives couvrant la protection des donn\u00e9es intercept\u00e9es, la confidentialit\u00e9 des interceptions en cours, ainsi que la s\u00e9curit\u00e9 du personnel et de l'infrastructure du prestataire de services g\u00e9r\u00e9s.<\/p>\n\n\n\n

Specific security requirements should include encryption of data at rest and in transit, role-based access control with multi-factor authentication, physical security of data centres and equipment, personnel vetting and security clearance requirements, and incident response procedures for security breaches. The SLA should require the managed service provider to comply with relevant security standards \u2014 such as ISO 27001 \u2014 and should include the right for the operator to conduct security audits or to require the provider to submit to independent security assessments. Check national location and logging rules too. In Germany the operator must ensure, and the contract must require, that the provider operates the LI control systems in Germany (\u00a7 14 TK\u00dcV), keeps complete activation logs that its operating staff cannot access (\u00a7 16 TK\u00dcV), and supports the operator’s quarterly audit reports to the BNetzA (\u00a7 17 TK\u00dcV).<\/p>\n\n\n\n

Les dispositions relatives \u00e0 la confidentialit\u00e9 rev\u00eatent une importance particuli\u00e8re dans le contexte des LI. Le prestataire de services g\u00e9r\u00e9s ne doit divulguer l\u2019existence d\u2019aucune interception \u00e0 aucune partie autre que celles autoris\u00e9es \u00e0 en avoir connaissance. Le SLA doit inclure des obligations de confidentialit\u00e9 sp\u00e9cifiques s\u2019appliquant \u00e0 l\u2019ensemble du personnel du prestataire ayant acc\u00e8s au syst\u00e8me LI, et doit pr\u00e9ciser les cons\u00e9quences d\u2019une violation de la confidentialit\u00e9.<\/p>\n\n\n\n

Conformit\u00e9 r\u00e9glementaire et reporting<\/h2>\n\n\n\n

Les obligations r\u00e9glementaires de l'op\u00e9rateur ne sont pas transf\u00e9r\u00e9es au prestataire de services g\u00e9r\u00e9s. Le SLA doit d\u00e9finir clairement les responsabilit\u00e9s de chaque partie en ce qui concerne conformit\u00e9 r\u00e9glementaire<\/a>, et doit comporter des dispositions garantissant que l'op\u00e9rateur soit en mesure de respecter ses obligations en mati\u00e8re de rapports et d'audits. Cela inclut l'obligation pour le prestataire de services g\u00e9r\u00e9s de conserver des pistes d'audit compl\u00e8tes, de fournir r\u00e9guli\u00e8rement des rapports de conformit\u00e9 \u00e0 l'op\u00e9rateur et d'apporter son soutien \u00e0 ce dernier lors des inspections ou audits r\u00e9glementaires.<\/p>\n\n\n\n

Le contrat de niveau de service (SLA) devrait \u00e9galement pr\u00e9voir l\u2019obligation pour le prestataire de se tenir inform\u00e9 des \u00e9volutions r\u00e9glementaires. \u00c0 mesure que les exigences nationales en mati\u00e8re de LI \u00e9voluent \u2014 nouvelles sp\u00e9cifications techniques, mise \u00e0 jour des exigences proc\u00e9durales, modifications apport\u00e9es \u00e0 conservation des donn\u00e9es<\/a> obligations \u2014 le prestataire de services g\u00e9r\u00e9s doit mettre \u00e0 jour ses syst\u00e8mes et ses processus en cons\u00e9quence. Le SLA doit pr\u00e9ciser les d\u00e9lais de mise en \u0153uvre des mises \u00e0 jour r\u00e9glementaires et inclure des dispositions obligeant le prestataire \u00e0 informer l'op\u00e9rateur des changements \u00e0 venir et de leurs implications.<\/p>\n\n\n\n

Dispositions transitoires et de sortie<\/h2>\n\n\n\n

One of the most overlooked aspects of managed LI SLAs is the exit strategy. Operators should consider what happens when the contract ends \u2014 whether by expiration, termination, or transition to a different provider. The SLA should include detailed transition provisions covering the transfer of active measures to a new system, the handover of audit and protocol records that are still within their legal retention period, confirmed deletion of everything else (intercepted content is not retained and therefore not part of an exit), the timeline for the transition, and the managed service provider’s obligation to continue operating during the transition period.<\/p>\n\n\n\n

Lock-in risk is a legitimate concern with managed LI services. Operators should evaluate the portability of their LI data and configurations, and should negotiate SLA provisions that minimise lock-in. This includes the right to access and export configuration data and records still within their retention period in standard formats, the availability of documentation and configuration information needed for transition, and reasonable notice periods and transition timelines.<\/p>\n\n\n\n

Gestion des incidents et escalade<\/h2>\n\n\n\n

The SLA must define clear incident management and escalation procedures. Different incident types \u2014 system outages, data quality issues, security incidents, missed activation targets \u2014 should have defined severity levels, response times, and escalation paths. The escalation procedures should include named contacts at both the operator and the managed service provider, with defined communication channels and response obligations for each severity level. The SLA must also cover statutory notifications: who informs the agencies of faults and interruptions without delay, with cause, impact and expected duration (in Germany \u00a7 13 TK\u00dcV), and who confirms each activation and deactivation time to them.<\/p>\n\n\n\n

Le SLA devrait pr\u00e9voir la tenue de r\u00e9unions r\u00e9guli\u00e8res d'\u00e9valuation des services, afin de disposer d'un cadre permettant de discuter des performances par rapport aux objectifs fix\u00e9s dans le SLA, d'examiner les incidents et leur r\u00e9solution, et de planifier les changements ou am\u00e9liorations \u00e0 venir. Ces r\u00e9unions devraient avoir lieu au moins une fois par mois, des r\u00e9unions suppl\u00e9mentaires pouvant \u00eatre organis\u00e9es en cas d'incidents majeurs ou d'\u00e9carts de performance.<\/p>\n\n\n\n

Conclusion<\/h2>\n\n\n\n

Le service \u00ab Compliance as a Service \u00bb (LI) offre des avantages ind\u00e9niables aux op\u00e9rateurs qui ne disposent ni des ressources ni de l\u2019expertise n\u00e9cessaires pour mettre en place et exploiter leur propre infrastructure d\u2019interception. Toutefois, le succ\u00e8s du mod\u00e8le de service g\u00e9r\u00e9 d\u00e9pend enti\u00e8rement de la qualit\u00e9 et de l\u2019exhaustivit\u00e9 du SLA. Les op\u00e9rateurs doivent exiger des SLA qui traitent des d\u00e9lais d\u2019activation des mandats, de la disponibilit\u00e9 du syst\u00e8me, de l\u2019exhaustivit\u00e9 des donn\u00e9es, de la s\u00e9curit\u00e9, de la conformit\u00e9 r\u00e9glementaire, des dispositions de transition et de la gestion des incidents \u2014 avec des objectifs mesurables, des p\u00e9nalit\u00e9s significatives et une responsabilit\u00e9 clairement d\u00e9finie. Un SLA bien n\u00e9goci\u00e9 prot\u00e8ge l\u2019op\u00e9rateur, garantit la conformit\u00e9 et jette les bases d\u2019un partenariat productif et durable avec le fournisseur de services g\u00e9r\u00e9s.<\/p>\n\n\n\n

Lorsque vous \u00e9valuez une offre de services de mise en conformit\u00e9 LI, ne vous arr\u00eatez pas au prix affich\u00e9. Un contrat complet de services de mise en conformit\u00e9 LI doit couvrir tous les aspects de vos obligations r\u00e9glementaires.<\/p>\n\n\n\n

Articles connexes<\/h2>\n\n\n\n

Pour en savoir plus sur des sujets connexes, consultez les articles suivants :<\/p>\n\n\n\n