Réseau électrique américain : le décret exécutif 14420 déclare une urgence nationale pour les fournitures étrangères

Le président des États-Unis a signé le 26 août 2026 le décret exécutif 14420, qui déclare une urgence nationale face à la menace « inhabituelle et extraordinaire » que représentent les équipements électriques de fourniture étrangère destinés au bulk power system. Cette décision marque un tournant dans la protection du réseau électrique américain : il ne s’agit plus seulement de rechercher des vulnérabilités logicielles, mais de contrôler la provenance, la conception et la chaîne d’approvisionnement des transformateurs, relais, systèmes de contrôle industriels et composants critiques.

Ce que prévoit le décret : champ d’application et définitions

Le décret exécutif 14420 s’applique au bulk power system, défini comme l’ensemble des infrastructures de transport interconnectées et des ressources de production nécessaires à la fiabilité du réseau. Sont incluses les lignes de transport d’une tension égale ou supérieure à 69 kV. Sont exclues les infrastructures de distribution électrique locale, qui desservent directement les particuliers et les petites entreprises.

Le texte couvre une large liste d’équipements et de technologies. Y figurent les transformateurs, les générateurs, les onduleurs, les systèmes de stockage d’énergie ou batteries, les relais de protection, les compteurs, les disjoncteurs haute tension. Le décret inclut également les systèmes de contrôle industriels : unités terminales distantes (RTU), automates programmables industriels (PLC), dispositifs électroniques intelligents (IED), systèmes de contrôle distribués (DCS) et systèmes instrumentés de sécurité. Il ne s’arrête pas au matériel : les logiciels, microprogrammes, services numériques, services de maintenance et capacités d’accès à distance associés aux équipements couverts entrent dans le champ d’application.

Aucun fournisseur spécifique n’est désigné. Il s’agit de catégories de produits, et non d’entreprises identifiées. Le décret ne nomme aucun pays, même si sa structure rappelle étroitement une mesure de 2020 qui avait abouti à une interdiction visant des entités associées à la Chine, ensuite révoquée après un réexamen par l’administration Biden.

Pas d’interdiction généralisée : le mécanisme d’évaluation

Le décret n’interdit pas en bloc tous les équipements produits à l’étranger. Il crée au contraire un cadre permettant au secrétaire à l’Énergie de déterminer si certaines entités, fournisseurs, pays ou équipements étrangers présentent un risque inacceptable pour la sécurité nationale, la politique étrangère ou l’économie. Les transactions d’acquisition, d’importation, de transfert ou d’installation d’équipements bulk power produits à l’étranger engagées après le 26 août 2026 ne sont interdites que si elles impliquent une « Covered Foreign Entity » et si le matériel ou le logiciel est jugé susceptible de sabotage, de subversion, d’accès non autorisé, d’action malveillante à distance ou d’interruption du système électrique et de sa chaîne d’approvisionnement.

La définition de « Covered Foreign Entity » est volontairement large. Elle inclut les gouvernements soumis à certains embargos ou régimes de sanctions américains ainsi que les entités que les autorités compétentes considèrent comme engagées dans des conduites nuisibles à la sécurité nationale ou à la politique étrangère. Le secrétaire à l’Énergie peut aussi accorder des licences pour des transactions autrement interdites, ce qui introduit une certaine flexibilité pour des cas particuliers.

Le mécanisme ne concerne pas seulement des composants isolés. Le décret permet d’évaluer et de restreindre des catégories entières de transactions, dans le but d’intervenir avant qu’un composant potentiellement compromis n’entre dans le réseau.

Impact sur les équipements déjà installés

Le décret ne se limite pas aux nouvelles acquisitions. Pour les équipements de production ou de gestion étrangère déjà installés avant l’entrée en vigueur, le secrétaire à l’Énergie peut imposer des conditions et, selon le risque, obliger les opérateurs à identifier, isoler, surveiller, sécuriser, déconnecter, remplacer ou retirer certains composants.

Avant d’imposer un isolement ou un remplacement, les responsables doivent tenir compte de la fiabilité, de la sécurité, de la disponibilité de substituts sûrs et de la continuité des services essentiels. Retirer un composant sans substitut adéquat peut créer en soi un problème opérationnel. C’est pourquoi une conformité progressive et des mesures négociées sont prévues plutôt que des retraits immédiats.

Le cadre de préqualification vise à éviter les goulets d’étranglement dans les approvisionnements. Le secrétaire à l’Énergie peut établir des critères pour les équipements et fournisseurs préqualifiés exemptés des restrictions de base. La préqualification n’empêche toutefois pas le gouvernement d’examiner ou de restreindre ultérieurement une transaction si les circonstances l’exigent.

Calendrier et prochaines étapes

Le décret fixe des échéances précises pour sa mise en œuvre. Dans les 120 jours suivant la signature, le secrétaire à l’Énergie devra publier des règles ou règlements d’application, y compris les procédures d’identification des entités, équipements et pays couverts ainsi que les modalités d’octroi de licences pour les transactions autrement interdites.

Dans les 180 jours, le département de l’Énergie devra élaborer des recommandations de modification du Federal Acquisition Regulation (FAR) accordant davantage de poids aux risques de sécurité nationale et favorisant les infrastructures énergétiques fabriquées aux États-Unis. Le FAR Council disposera ensuite de 90 jours pour décider s’il propose des amendements pour commentaire public.

Les autorités énergétiques peuvent en outre négocier des accords d’atténuation ou publier une liste officielle d’équipements et de fournisseurs préqualifiés exemptés des interdictions de base. Le département de l’Énergie avait déclaré en août 2026 vouloir augmenter la production nationale de composants critiques du réseau, en réponse à la croissance rapide de la demande d’électricité et à la nécessité de renforcer la chaîne d’approvisionnement.

Un changement stratégique : de la chasse aux vulnérabilités à la chaîne d’approvisionnement

Le décret exécutif 14420 n’est pas lié à une vulnérabilité technique précise. Il n’y a ni CVE ni score de gravité. L’évaluation est stratégique : la sécurité du réseau électrique est abordée comme un problème d’approvisionnement, de production et de contrôle de la chaîne d’approvisionnement.

La motivation officielle citée par la Maison-Blanche est la croissance rapide des centres de données, de l’intelligence artificielle, de la fabrication avancée et de la production pour la défense. Cette croissance a accru la dépendance des États-Unis à la fiabilité du réseau électrique. Une interruption qui pouvait autrefois être traitée avant tout comme un problème énergétique peut désormais toucher des opérations de défense, des infrastructures critiques, des services d’urgence et de larges pans de l’économie.

Le décret marque un déplacement vers l’atténuation des risques en amont de la chaîne d’approvisionnement et des portes dérobées matérielles incorporées. Alors que l’attention se porte souvent sur les attaques actives menées par des acteurs étatiques contre les réseaux électriques américains, la nouvelle mesure intervient en amont, avant qu’un dispositif potentiellement compromis ne soit installé. Il ne suffit pas de savoir si un dispositif présente aujourd’hui une vulnérabilité : il faut aussi savoir qui l’a produit, qui contrôle le fournisseur, d’où proviennent les logiciels et microprogrammes, qui peut y accéder à distance et ce qui se passe si la chaîne d’approvisionnement devient indisponible.

Ce que doivent faire les opérateurs

Pour les opérateurs du bulk power system américain, le décret entraîne de nouvelles obligations potentielles. Le département de l’Énergie peut imposer des contrôles de sécurité et des mesures d’identification, d’isolement, de surveillance, de sécurisation, de déconnexion ou de remplacement des équipements couverts, tout en garantissant la continuité et la sécurité du service.

Les entreprises qui achètent ou installent des équipements bulk power produits à l’étranger doivent vérifier si le fournisseur figure parmi les entités désignées ou couvertes et si le matériel ou le logiciel présente les facteurs de risque indiqués dans le décret. La préqualification peut offrir un moyen de poursuivre les approvisionnements sans tomber sous le coup des interdictions, mais elle n’élimine pas la possibilité de contrôles ultérieurs.

L’absence de liste initiale de pays ou de fournisseurs interdits laisse place à l’interprétation. Les règles d’application attendues dans les 120 jours clarifieront les procédures concrètes. D’ici là, les opérateurs doivent se préparer à un régime où la provenance et le contrôle de la chaîne d’approvisionnement deviennent partie intégrante de l’évaluation des risques, aux côtés des mesures traditionnelles de cybersécurité.

Le décret exécutif 14420 n’introduit pas de nouveaux correctifs à installer. Il introduit une nouvelle façon de penser la sécurité du réseau électrique, en déplaçant la ligne de défense de la périphérie informatique vers la chaîne d’approvisionnement. Son efficacité dépendra des règles d’application et de la capacité du département de l’Énergie à concilier sécurité et fiabilité opérationnelle.