« Le pager, c'est dépassé. » Depuis la reprise d'e*Message, j'ai entendu cette objection — et quatre autres — au moins cent fois. Dans des comités d'achat hôpitaux, dans des audits cyber industrie, dans des QBR énergie. Cet article déconstruit les cinq mythes qui empêchent encore beaucoup d'entités essentielles NIS2 de regarder sérieusement la diversification de leur canal d'alerte — un par un, avec des chiffres et des sources publiques.
Quand on présente la radiomessagerie professionnelle (POCSAG) à un décideur qui ne connaît que l'IT moderne, la réaction est presque toujours la même : « On va pas remettre des bipers années 90, quand même. » Le réflexe est compréhensible. Il est aussi factuellement erroné — et il devient stratégiquement coûteux à l'heure où la directive NIS2 (transposée en droit français en 2025) demande explicitement aux entités essentielles et importantes de prouver qu'elles disposent de « systèmes sécurisés de communication d'urgence au sein de l'entité » (article 21(2)(j)) et d'une « gestion des crises » documentée (article 21(2)(c)).
Voici les cinq objections les plus fréquentes, et ce que disent vraiment les chiffres.
Vrai partiellement : la norme POCSAG (Post Office Code Standardisation Advisory Group) a été standardisée en 1982. Le protocole n'a pas changé fondamentalement depuis.
Mais l'argument tombe à plat dès qu'on le creuse. La fonction — broadcast hors-IP, indépendant des opérateurs mobiles, narrowband basse fréquence — n'a aucun équivalent moderne déployé à équivalent SLA. Le TCP/IP date de 1974. On l'utilise toujours. SMTP, le protocole derrière l'email professionnel, date de 1982 lui aussi. Personne n'a jamais argumenté qu'il fallait jeter SMTP parce qu'il était « daté ».
L'âge d'une norme n'est pas un indicateur de sa pertinence. Ce qui compte, c'est : la fonction est-elle toujours nécessaire ? Réponse de la directive NIS2 article 21(2)(j) : oui.
Faux. En 2026, en France, le pager critique est utilisé par bien plus de secteurs qu'on ne le pense :
Le dénominateur commun à ces six familles : un canal qui doit fonctionner quand les autres tombent. C'est la définition même d'un système de secours.
Faux — et c'est mathématique. Le SMS et le pager POCSAG ne couvrent pas le même cas d'usage. Le tableau ci-dessous compare cinq critères qui font la différence en situation de crise.
| Critère | SMS groupé | Pager POCSAG |
|---|---|---|
| Acheminement garanti SLA | ❌ Non | ✅ Broadcast |
| Indépendant du réseau mobile | ❌ Non | ✅ Réseau dédié |
| Simultané pour 100+ personnes | ❌ Séquentiel | ✅ Instantané |
| Survit à un ransomware SI | ❌ Non | ✅ Oui (hors-IP) |
| Acquittement remonté | ❌ Non | ✅ Oui |
Le verdict opérationnel est simple : pour 95 % des usages quotidiens, le SMS est parfait. Pour les 5 % où le Plan Blanc se déclenche, où la cellule de crise tourne, où l'attaque cyber rend le SI indisponible, le SMS ne suffit pas. Ces 5 %-là, ce sont précisément ceux que NIS2 article 21(2)(c) demande de couvrir explicitement.
Ce face-à-face SMS / pager s'inscrit dans une comparaison plus large des quatre canaux d'alerte mobilisés en cellule de crise — standard, SMS, messagerie unifiée IT et pager POCSAG. Nous l'avons détaillée dans notre comparatif des 4 canaux d'alerte sous NIS2.
À nuancer fortement. Le coût annuel d'un pager critique représente une fraction très faible du coût d'une astreinte (salaire chargé + temps de réponse).
Le coût n'a du sens qu'en regard du risque qu'il couvre. À mettre en regard :
Le bon ratio coût/risque n'est pas le prix unitaire du terminal — c'est la prime d'assurance opérationnelle qu'il représente face à l'événement qui justifierait son déclenchement.
Très faux. Quelques ordres de grandeur publics :
Ce n'est pas un marché en sortie. C'est un marché que la réglementation européenne vient de re-légitimer. Les pays voisins (Allemagne, Pays-Bas, Royaume-Uni, Suisse) maintiennent eux aussi leurs réseaux paging critique nationaux pour exactement les mêmes raisons.
Le vrai sujet, posé par NIS2 et par l'expérience récente des incidents majeurs (ransomware Anthem, Colonial Pipeline, attaques contre des hôpitaux français en 2020-2024, pannes Orange/Free de couverture mobile), tient en une phrase : quel canal tient quand tout tombe ?
Reformulée pour un RSSI ou un responsable PCA : « si demain matin le SI est chiffré par un ransomware, si le standard téléphonique est inopérant, si la cellule mobile locale est saturée par l'événement, par quel canal mobilisez-vous vos 200 personnes d'astreinte en moins de 15 minutes ? »
Tant que cette question reste sans réponse documentée, l'entité n'est pas conforme à l'esprit de l'article 21(2)(c) — et son auditeur NIS2 le notera.
Oui. Le réseau de radiomessagerie professionnelle française est exploité par un opérateur dédié (e*Message), titulaire de ses propres fréquences attribuées par l'ARCEP. Il ne partage aucun maillon réseau avec les opérateurs mobiles publics (Orange, SFR, Bouygues, Free). Une panne d'un opérateur mobile n'affecte pas la diffusion POCSAG.
NIS2 ne fixe pas de nombre minimal. Le principe est celui de la défense en profondeur. Viser trois canaux indépendants dont au moins un hors-IP est une posture défendable face à un auditeur. C'est ce que prévoient déjà la plupart des Plans Blancs hospitaliers et des PCA bancaires.
Oui, par conception. Le pager POCSAG fonctionne en broadcast unidirectionnel sur un réseau radio dédié, sans connexion IP entrante côté terminal. Il n'a pas de système d'exploitation Windows ou Linux exposé à un chiffrement. C'est précisément ce qui en fait le canal de dernier recours quand le SI principal est compromis.
NIS2 distingue les entités essentielles (santé, énergie, transports, banque, infrastructures numériques, eau, espace, administration publique) et importantes (services postaux, gestion des déchets, chimie, alimentation, manufacture critique, fournisseurs numériques, recherche). En France, plusieurs milliers d'entités sont concernées par la transposition 2025.
L'article 21(2)(c) demande des tests réguliers de la continuité et de la reprise. Une cadence minimale d'exercice trimestriel avec scénarios qui dégradent volontairement un ou plusieurs canaux, mesure du délai T+0 → T+15 minutes, et acquittement remonté, est généralement attendue par les auditeurs.
Cet article prolonge une discussion publiée sur LinkedIn. Réagir ou commenter le post original →
