Extinction de la 2G : à six mois de l'échéance, 2 millions de cartes SIM n'ont toujours pas migré

À six mois de l'extinction annoncée des réseaux 2G en France métropolitaine, 2 millions de cartes SIM fonctionnent encore dans des terminaux compatibles uniquement 2G. C'est le constat de la quatrième édition de l'observatoire trimestriel de l'Arcep, publiée le 10 juin 2026. La migration s'accélère, mais pas encore assez vite — et derrière ces chiffres se cachent des alarmes, des ascenseurs, des terminaux de paiement et des dispositifs de télésurveillance dont dépendent la sécurité et la continuité d'activité de nombreuses organisations.

Ce que révèle le quatrième observatoire de l'Arcep

Lancé en septembre 2025, l'observatoire suit chaque trimestre le nombre de cartes SIM détenues par les abonnés de Bouygues Telecom, Free Mobile, Orange et SFR dans des terminaux compatibles uniquement avec la 2G, ou avec la 2G et la 3G. L'objectif : mesurer l'effet des campagnes de sensibilisation des opérateurs avant l'arrêt définitif de ces technologies, déjà effectif dans plusieurs communes.

Les chiffres à fin mars 2026 montrent une nette accélération. La baisse trimestrielle du parc de cartes SIM « 2G » utilisées pour des services MtoM (machine to machine) atteint 21,5 %, contre 9,2 % au trimestre précédent. Pour les services voix, SMS et internet mobile, la décroissance passe de 9,5 % à 14 %. Le régulateur prévient toutefois que ce rythme « doit encore s'intensifier » pour que l'ensemble des terminaux 2G soit renouvelé avant l'extinction complète des réseaux.

Pourquoi les DPO et RSSI sont directement concernés

L'extinction de la 2G et de la 3G n'est pas qu'un sujet télécom. Les cartes SIM MtoM — celles dont la migration reste la plus critique — équipent des systèmes qui traitent ou protègent des données personnelles : téléalarmes pour personnes âgées, dispositifs de télésuivi médical, systèmes d'alarme et de vidéosurveillance, ascenseurs connectés, télérelevé de compteurs. Un équipement qui bascule hors réseau, c'est potentiellement une mesure de sécurité qui disparaît ou un service essentiel interrompu.

Or l'article 32 du RGPD impose de garantir la disponibilité et la résilience constantes des systèmes de traitement, en tenant compte de l'état de l'art. Maintenir des dispositifs sur une technologie en fin de vie, dont l'arrêt est annoncé et documenté, devient difficile à justifier en cas d'incident. Pour les entités régulées, la directive NIS 2 ajoute une exigence explicite de gestion des risques liés à la chaîne d'approvisionnement et à la continuité d'activité. Ce mouvement s'inscrit dans une actualité plus large de transformation des réseaux, comme la note prospective de l'Arcep sur l'impact du quantique publiée la veille.

Ce que les organisations doivent faire avant l'échéance

Premier réflexe : inventorier. Beaucoup d'organisations ignorent quels équipements de leur parc reposent encore sur la 2G ou la 3G, notamment lorsqu'ils sont gérés par des prestataires (télésurveillance, maintenance d'ascenseurs, flottes de véhicules). Interroger formellement chaque fournisseur sur son calendrier de migration relève de la même logique que l'audit des sous-traitants : un service critique externalisé reste sous la responsabilité de l'organisation qui l'utilise.

Deuxième chantier : intégrer l'échéance dans la politique de sécurité informatique et les plans de continuité. Les dates d'extinction varient selon les opérateurs et les territoires — certaines communes sont déjà coupées. Attendre le dernier trimestre, c'est s'exposer à des délais de renouvellement de terminaux que les chiffres de l'Arcep montrent déjà tendus à l'échelle nationale.

Ce que Leto pense de cette décision

L'observatoire de l'Arcep est un outil de transparence bienvenu, mais les 2 millions de cartes SIM restantes racontent une autre histoire : celle d'un angle mort dans la gouvernance des organisations. La dépendance à des technologies en fin de vie n'apparaît dans aucun registre tant que personne ne pose la question. Notre conviction : l'extinction 2G/3G est un excellent cas d'école pour les DPO et RSSI — un risque daté, annoncé, mesurable, qui permet de tester concrètement la capacité de l'organisation à cartographier ses actifs et ses prestataires. Ceux qui ne savent pas répondre aujourd'hui à « combien d'équipements 2G avons-nous ? » auront du mal à répondre demain à des questions plus difficiles.

Sources : Arcep — Extinction des réseaux mobiles 2G et 3G, quatrième observatoire trimestriel (10 juin 2026)