Huawei a passé un audit de sécurité indépendant en 2020. Le Canada l'a interdit en 2022.

Deux faits qu'il faut tenir ensemble

Le 24 août 2020, la GSMA annonçait que « the world's leading mobile network equipment vendors, Ericsson, Huawei, Nokia and ZTE, have successfully completed an assessment of their product development and lifecycle management processes » dans le cadre de son Network Equipment Security Assurance Scheme (GSMA, 2020). Le directeur de la technologie de l'organisme, Alex Sinclair, a déclaré que les quatre fournisseurs avaient « satisfied the scheme's security requirements via an independent security audit », qualifiant cela de « this important first step » (GSMA, 2020).

Vingt mois plus tard, le 19 mai 2022, le gouvernement du Canada publiait un énoncé de politique selon lequel « il sera interdit d'utiliser du nouvel équipement 5G de Huawei ou de ZTE ou, encore, les services gérés par ces derniers », l'équipement 5G existant devant être retiré au plus tard le 28 juin 2024 et l'équipement 4G au plus tard le 31 décembre 2027 (Innovation, Science and Economic Development Canada, 2022). Le 13 octobre 2022, le Royaume-Uni émettait un avis de désignation classant Huawei « as a high-risk vendor of 5G network equipment and services », assorti d'une directive visant 35 exploitants britanniques (Department for Digital, Culture, Media & Sport, 2022).

Les deux choses sont vraies. L'audit a eu lieu, de façon indépendante. Les exclusions ont eu lieu, pour des motifs de sécurité nationale exposés dans l'avis de chaque gouvernement (Innovation, Science and Economic Development Canada, 2022 ; Department for Digital, Culture, Media & Sport, 2022). Rien n'a été falsifié ; personne n'a triché. L'audit n'a pas déplacé l'issue d'une seule journée, parce qu'aucun acheteur ni aucun régulateur n'en avait fait la condition d'accès.

L'idée maîtresse. Une certification est une barrière uniquement là où une partie nommée — un acheteur ou un régulateur — l'exige. Tout le reste est une préférence : possiblement utile, parfois décisive à égalité, mais pas ce qui vous sépare du contrat. Appliquez ce seul test à 130 exigences d'admissibilité réparties sur 20 systèmes d'achat industriels et la répartition est de 85 barrières, chacune avec une partie prescriptrice nommée, contre 45 préférences sans aucune Sagentix GTM Methodology, 2026. SOC 2 Type II et ISO 27001 tombent du côté des préférences dans la prestation clinique et de santé, dans les services financiers et l'assurance, ainsi que dans le logiciel d'entreprise. La plupart y liront que les certifications ne valent rien. C'est la mauvaise lecture, et c'est la coûteuse.

Le test, en une phrase

Écrivez le nom de la partie qui l'exige.

Pas la catégorie — un nom. Nos acheteurs d'entreprise posent la question est une catégorie. L'examen de sécurité du détenteur de contenu l'exige est un nom Sagentix GTM Methodology, 2026. La différence tient à ceci : pourriez-vous écrire un courriel à celui qui impose la condition ?

Si vous pouvez écrire un nom, vous avez une barrière : échouez et personne ne vous évalue. Sinon, vous avez une préférence — une chose de plus en concurrence pour l'attention du même acheteur, qui doit gagner son coût comme le ferait une fonctionnalité.

La distinction compte parce que les deux s'achètent différemment. Une barrière n'a pas de rendement — elle a un seuil. Vous le franchissez ou vous êtes hors marché. Dépenser plus que le minimum pour le franchir est du gaspillage. Une préférence, elle, a une courbe de rendement. Elle est en concurrence avec le travail produit, les clients de référence, la tarification, tout le reste du budget. Traiter une préférence comme une barrière produit l'échec que je vois le plus souvent en cybersécurité et en logiciel d'entreprise : un fondateur consacre de neuf à dix-huit mois plus un budget à six chiffres à un audit qui ne lève aucun obstacle, pendant que ce qui décide vraiment l'admission dans son secteur reste intact.

À quoi ressemble la répartition sur vingt industries

Sur 20 systèmes d'achat industriels, le même test donne ceci :

Exigences d'admissibilité selon qu'une partie nommée les impose ou non

• Barrières — un acheteur ou un régulateur nommé l'exige85
• Préférences — aucune partie prescriptrice identifiable45

L'endroit où SOC 2 et ISO 27001 atterrissent dépend entièrement de l'industrie, et le profil n'est pas celui que présument la plupart des fournisseurs :

Système d'achat industriel	Statut	Ce qui est réellement imposé
Prestation clinique et de santé	Préférence	SOC 2 Type II ou ISO 27001 ou HITRUST — un seul, pas tous
Services financiers et assurance	Préférence	Conditions de fait imposées par le marché, non par un régulateur
Technologie et logiciel d'entreprise	Préférence	Forte, avec un partage régional — SOC 2 en Amérique du Nord, ISO/CEI 27001 plus souvent dans l'UE et au Royaume-Uni
Établissements d'enseignement et de recherche	Barrière	Une évaluation sectorielle de sécurité des fournisseurs, imposée par les établissements membres — SOC 2 Type 2 accepté en substitution
Télécommunications, médias et contenu	Barrière	Assurance de sécurité du contenu, imposée par l'examen du détenteur de contenu

Sagentix GTM Methodology, 2026

Lisez attentivement la ligne de l'enseignement, la plus utile des cinq. SOC 2 y compte — et n'y est toujours pas la barrière. La barrière est une évaluation sectorielle de sécurité des fournisseurs qu'exigent les établissements membres ; SOC 2 est accepté en remplacement. Un fournisseur qui détient SOC 2 et s'arrête là a satisfait une règle de substitution, non une exigence, et il découvrira la différence la première fois qu'un établissement refusera le substitut.

Pourquoi la mauvaise lecture est la partie coûteuse

La conclusion « les certifications ne valent rien » ne suit pas, et y donner suite coûterait plus cher que l'erreur qu'elle corrige. Trois raisons.

Une préférence fait quand même vendre. Dans le logiciel d'entreprise, l'analyse sous-jacente consigne l'attente comme frôlant l'obligation : les acheteurs posent la question, l'approvisionnement la note, son absence allonge un cycle même là où elle ne l'arrête pas Sagentix GTM Methodology, 2026. C'est un effet commercial réel. Ce n'est simplement pas un effet d'accès, et la budgétisation suit cette différence.

Les barrières sont souvent l'artefact ennuyeux. Sur les 85 exigences imposées, ce que réclame la partie nommée est plus souvent une inscription, une place sur un véhicule d'approvisionnement, une évaluation sectorielle ou l'examen interne de cet acheteur qu'une certification prestigieuse Sagentix GTM Methodology, 2026. Ces éléments coûtent moins qu'un audit, prennent moins de temps, et ce sont pourtant eux qui vous font entrer.

Le statut change à la frontière. ISO/CEI 27001 est la marque la plus couramment attendue dans l'UE et au Royaume-Uni là où SOC 2 domine en Amérique du Nord. Le même produit vendu dans la même industrie sur deux territoires peut affronter deux préférences différentes ; un fournisseur qui n'en détient qu'une est rarement bloqué net, mais il argumente en retard Sagentix GTM Methodology, 2026.

Ce que je fais, et ce que je ne fais pas

Je conseille des entreprises de cybersécurité et de logiciel d'entreprise en matière de mise en marché. Sagentix ne réalise pas d'audits SOC 2 ni ISO 27001, ne délivre aucune certification, et n'est ni évaluateur ni organisme de certification pour aucun des programmes nommés dans cet article. Ce que je fais, c'est établir quelles exigences d'un secteur cible sont réellement imposées, et par qui, avant qu'un client n'y engage un budget — ce qui est une question d'intelligence de marché, non de conformité Sagentix Phase 01 Market Intelligence, 2026.

Cette analyse fait partie d'un système de livraison qui s'étend sur 6 à 8 semaines, s'appuie sur 1 412 artefacts organisés, et se situe entre 4 500 $ CA pour la Phase 1 et 45 000 $ CA pour une mise en marché complète, selon la portée — avec une garantie de remboursement sur la Phase 1 (sous réserve des conditions). Le test lui-même tient en une phrase, et vous devriez l'appliquer vous-même d'abord.

Ce que je n'ai pas pu vérifier

L'analyse interne dont s'inspire cet article affirmait aussi que Huawei et ZTE étaient exclus des réseaux de « dix États membres de l'UE ». Je n'ai pas pu confirmer ce décompte, État membre par État membre, auprès d'une source primaire le 8 septembre 2026 ; il ne figure donc pas ici. Le Canada et le Royaume-Uni y figurent parce que les deux mesures sont publiées, datées et lisibles directement à l'adresse du gouvernement émetteur.

La même prudence vaut pour l'actualité de l'audit. Ce qui est vérifié, c'est que les quatre fournisseurs ont mené à bien l'évaluation NESAS annoncée en août 2020, et que la GSMA l'a décrite comme portant sur les processus de développement et de cycle de vie, comme une première étape, l'évaluation au niveau des produits devant suivre (GSMA, 2020). Savoir si l'un de ces fournisseurs détient aujourd'hui un statut NESAS courant est une autre question, que je n'ai pas examinée — et l'argument n'en a pas besoin.

Trois façons d'agir là-dessus

Appliquez le test du nom à votre propre feuille de route cette semaine. Dressez la liste de chaque certification, attestation et évaluation que vous détenez ou prévoyez de détenir. À côté de chacune, écrivez le nom de l'acheteur ou du régulateur qui l'exige. Chaque ligne vide est une préférence. Vous pouvez toujours la vouloir — mais déplacez-la du budget d'accès vers le budget de marketing, où elle rivalise honnêtement avec les autres dépenses. Cela prend une heure.

Trouvez la barrière que vous ne traitez pas. Pour votre principal secteur cible, demandez à trois acheteurs actuels ou potentiels ce qu'un fournisseur doit détenir avant que l'évaluation ne commence, et écoutez la réponse ennuyeuse — une inscription de fournisseur, une place sur une offre à commandes, une évaluation sectorielle, un examen interne nommé. La certification célèbre est rarement la première chose nommée, et la première chose nommée est celle qu'on ne peut pas contourner.

Faites appel à une passe structurée d'accès au marché quand l'engagement est important — quand un audit consommerait un trimestre du temps d'ingénierie de l'année, quand on demande à un conseil d'administration de financer un programme de conformité en tant qu'investissement de croissance, ou quand vous entrez sur un deuxième territoire sans savoir si l'exigence voyage. C'est un mandat de Phase 01, et je le prendrais en dernier des trois, parce que les deux premiers coûtent un après-midi et quelques conversations.

Les auditeurs de Huawei ont fait leur travail. Les responsables d'Ottawa et de Londres aussi. L'erreur des fournisseurs, s'il y en a eu une, n'était pas dans l'audit : elle consistait à croire que franchir une barre que quelqu'un acceptait de certifier revenait à franchir celle que quelqu'un était prêt à faire respecter.

Pour quelle certification de votre feuille de route pouvez-vous nommer la partie prescriptrice — et qu'advient-il de votre budget si vous ne le pouvez pas ?

References

• Department for Digital, Culture, Media & Sport. (2022, October 13). Huawei legal notices issued. Government of the United Kingdom.
• GSMA. (2020, August 24). GSMA announces progress on Network Equipment Security Assurance Scheme. GSM Association.
• Innovation, Science and Economic Development Canada. (2022, May 19). Policy statement — Securing Canada's telecommunications system. Government of Canada. French version: Énoncé de politique — Sécuriser le système de télécommunications au Canada.