Les risques relatifs à la cybercriminalité sont devenus systémiques dans un monde en pleine mutation numérique, caractérisé par la congruence permanente des individus et des systèmes d’informations.
Dès 2008, le Livre blanc posait les prémices de ce constat en donnant une place centrale à la mondialisation, décrite comme une situation d’interactions et d’interdépendances entre une multitude d’acteurs, portée entre autres par l’expansion de nouvelles technologies : « Dans les quinze ans à venir, la multiplication des tentatives d’attaques menées par des acteurs non étatiques, pirates informatiques, activistes ou organisations criminelles, est une certitude. Certaines d’entre elles pourront être de grande ampleur »[1].
L’expansion généralisée du cyberespace augmentant de fait les surfaces d’attaques, conduisait dix ans plus tard le ministère de l’Intérieur à constater dans son rapport État de la menace liée au numérique, un taux de pénétration de l’Internet de 54,4% au niveau mondial en 2017[2], contre 23,5% en décembre 2008[3].
Le corollaire d’un tel accroissement fut la tuméfaction du risque, incarnée par deux attaques virales sans précédent :
- Le rançongiciel Wannacry, qui le 12 mai 2017, infecte de façon quasi-simultanée des milliers de machines à l’échelle mondiale[4].
- Le logiciel NotPetya, qui le 27 juin de la même année, cible la société Saint-Gobain, ainsi que l’affréteur maritime et la société pharmaceutique Merck, provoquant chez ce dernier un préjudice de 80 millions d’euros de perte en exploitation[5].
Si le Livre blanc de 2008 concevait par anticipation le cyberespace comme un champ de confrontation globalisé, le Livre blanc de 2013 considérait définitivement ce dernier, comme un risque de première importance pour la sécurité nationale : « la possibilité, envisagée par le précédent Livre blanc, d’une attaque informatique majeure contre les systèmes d’information nationaux dans un scénario de guerre informatique constitue, pour la France et ses partenaires européens, une menace de première importance »[6].
De la prévision du risque amorcée il y a une décennie par ce document, à la concrétisation exponentielle de la cybermenace, le présent article aura pour objectif d’étudier l’imbrication des réponses préventives réglementaires apportées par l’État, avec le contexte historique français et européen.
Un dispositif hérité de la protection des installations d’importance vitale
C’est en 1958 dans un contexte de Guerre froide (1947-1991) et d’incertitude politique et institutionnelle consécutive à la guerre d’Algérie (1954-1962) que la notion d’opérateur d’importance vitale (OIV) apparaît pour la première fois en France. Il n’est pas déraisonnable de considérer que cette année spécifiquement marquée par une série d’événements politiques (officialisation du programme nucléaire militaire français) et déstabilisateurs (attentats perpétrés par le FLN sur le territoire français, putsch d’Alger), activant l’instauration de l’état d’urgence, ait pu contribuer à l’ordonnance n°58-1371 du 29 décembre 1958 tendant à renforcer la protection des installations d’importance vitale (étendue aux territoires d’outre-mer en 1961) : « Les entreprises exploitant des établissements ou utilisant des installations et ouvrages, dont l’indisponibilité risquerait de diminuer d’une façon importante le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la nation, sont tenues de coopérer à leur frais, dans les conditions fixées à la présente ordonnance, à la protection desdits établissements, installations, et ouvrages contre toute tentative de sabotage »[7]. La mise en service d’usines d’extraction de plutonium et de séparation isotopique de l’uranium sur les sites de Marcoule et de Pierrelatte à la même date, pouvait de surcroit constituer un terrain favorable à la définition d’un protocole, visant à protéger l’ensemble de ces complexes stratégiques.
Le cadre organisationnel permettant d’associer les OIV publics ou privés, à la mise en œuvre de la stratégie de sécurité nationale dédiée à la protection physique des points d’importance vitale (PIV), relève du dispositif de sécurité des activités d’importance vitale (SAIV). Cet appareil qui n’a connu que peu d’évolutions depuis près de cinquante ans, a été réformé par le décret n°2006-212 du 23 février 2006 : « […] ce dispositif est venu remplacer l’ancienne politique de protection des installations d’importance vitale devenue caduque par bien des aspects. Héritière de la guerre froide, elle était essentiellement centrée sur la prévention du sabotage. Adoptée à une époque où l’état jouait un rôle clé au cœur de l’économie, elle ne faisait que peu de place aux acteurs privés »[8]. L’arrêté du 2 juin 2006 complétait ce décret en fixant la liste des secteurs d’activités d’importance vitale à 12[9], tout en désignant les ministres coordonnateurs de ces derniers.
Face à la cybermenace, un dispositif de défense national en perpétuelle adaptation
Pour appréhender les prémices d’une réponse défensive étatique à la cybermenace, il est nécessaire de les relier à l’apparition concomitante de deux facteurs de portée mondiale :
D’une part un changement de paradigme géopolitique ; soit la fin d’une vision façonnée par un monde bipolaire, au profit d’une dynamique mondialisée, que le Livre blanc décrivait en 2008 comme suit : « Elle crée une interaction et une interdépendance généralisées et non maîtrisées entre tous les États. Elle permet à une multitude nouvelle d’acteurs non étatiques et d’individus de tirer le parti maximum des possibilités de circulation internationale accélérée des hommes comme des données et des biens, matériels et immatériels »[10].
D’autre part l’essor du réseau Internet associé à une augmentation exponentielle d’utilisateurs, passant de 16 millions fin 1995, à 2,8 milliards 18 ans plus tard[11], conduisant par effet mécanique à un accroissement des cyberattaques. Le Livre blanc validait ce rapport de cause à effet en 2013 : « […] les menaces et les risques induits par l’expansion généralisée du cyberespace ont été confirmés, qu’il s’agisse d’atteintes à des systèmes résultant d’actes intentionnels ou de ruptures accidentelles mettant en cause le fonctionnement d’une infrastructure numérique critique »[12]. Si le Livre blanc de 2008 constituait les prolégomènes d’une prise en considération de cette menace, la version de 2013, quant à elle, proposait pour la première fois un ensemble de mesures concrètes pour conserver des capacités de protection et de défense adaptées à l’évolution du risque.
Devant la nécessité de coordonner un dispositif défensif adapté à ces nouvelles contingences, la réponse gouvernementale fut la création de l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Ce service français instauré par décret le 7 juillet 2009, est l’héritier d’une série d’organismes à vocation militaire remontant à 1943, spécialisés dans la cryptographie et la protection des informations sensibles de l’État. Outre la pérennisation de cette fonction sensiblement modernisée, le rôle de l’ANSSI, s’étend aujourd’hui à une mission de conseil et de soutien aux administrations ainsi qu’aux opérateurs d’importance vitale sur la cybersécurité ; sujet désormais intégré dans le dispositif interministériel de sécurité des activités d’importance vitale, inscrit dans le code de la défense. L’article 22 de la loi de programmation militaire (loi n° 2013-1168 du 18 décembre 2013), imposant dès lors aux OIV, le renforcement de la sécurité des systèmes d’information critiques qu’ils exploitent : les systèmes d’information d’importance vitale (SIIV).
Une coordination européenne et nationale de défense du cyberespace
Afin de répondre à l’étroite corrélation entre les intérêts européens et nationaux dans le cyberespace, l’Union européenne s’est dotée d’un cadre formel de coopération entre les 28 États membres, visant à assurer un niveau élevé commun de sécurité des réseaux et systèmes d’information de leurs activités critiques. La directive Network and Information System Security (NIS) proposée en février 2013 par la Commission européenne et adoptée le 6 juillet 2016, a pour ambition d’apporter une cohérence des postures et des pratiques de sécurité de chaque pays, et d’éviter ainsi la diffraction des usages susceptible de nuire à long terme à l’objectif de mise en conformité requis : « Les moyens existants ne sont pas suffisants pour assurer un niveau élevé de sécurité des réseaux et des systèmes d’information dans l’Union. Les niveaux de préparation sont très différents selon les États membres, ce qui se traduit par une fragmentation des approches dans l’Union »[13]. La France, pionnière en la matière envisageait déjà en 2008, la nécessité d’une coopération inter-étatique : « La France juge donc indispensable de renforcer, au sein de l’Union européenne, la coopération opérationnelle la plus réactive possible entre États partenaires face aux attaques contre les systèmes d’information »[14].
La directive NIS qui ne relève ni d’une loi ni d’un règlement, doit être d’avantage considérée comme un ensemble de recommandations visant à renforcer la cybersécurité des opérateurs de service essentiels (OSE) et des fournisseurs de service numérique (FSN), au sein d’un cadre de coopération européen et de gouvernance nationale. Elle laisse le choix des moyens pour y arriver à la discrétion des pays membres. Ces derniers eurent en revanche pour obligation la mise en place d’un Computer Security Incident Response (CSIRTs) et d’une autorité compétente, chargée de transposer cette directive en droit national à une date butoir fixée au 9 mai 2018. En France, les mesures de transposition de la directive NIS sont présentées par la loi n° 2018-133 du 26 février 2018, et le détail des modalité d’application par le décret n° 2018-384 du 23 mai 2018. Les règles NIS y sont au nombre de 23, réparties au sein de quatre chapitres (Gouvernance, Protection, Défense, Résilience) et restent fortement inspirées par les 20 règles de l’article 22 de la Loi de programmation militaire, servant de véhicule législatif pour adresser la cybersécurité aux différents OIV. Il existe toutefois une grande disparité d’application entre les États, chacun ayant la latitude d’atteindre un niveau de sécurité plus élevé que l’harmonisation minimale requise par la directive NIS. A titre d’exemple le IT Security Act allemand s’inspire principalement de certifications normatives de type ISO 27001, soit un modèle simplifié en comparaison du choix français.
Depuis le 17 mai 2019, en sus de ces recommandations, le Conseil européen a établi un cadre juridique « […] visant à dissuader et contrer les cyberattaques ayant des effets importants qui constituent une menace extérieure pour l’Union ou ses États membres »[15]. Pour la première fois, ces mesures restrictives peuvent viser des personnes, pays tiers ou organisations internationales en les intégrant à une liste noire recensant les cyber exactions effectuées hors frontières. Elles constituent une première concrétisation aux réponses diplomatiques conjointes souhaitée deux ans plus tôt, dans le cadre de la « boîte à outils cyber diplomatique ».
Évolution des menaces, exposition des territoires : un avenir à préparer
Par un passage progressif, allant de l’anticipation du risque cyber initié en 2008, à la mise en œuvre du cadre politique de lutte contre ce dernier, concrétisé par Loi de programmation militaire de 2013, la France a su exploiter un dispositif défensif présent depuis plus de 60 ans sur le territoire, en le faisant évoluer en fonction de la nouvelle tectonique des menaces : « Les attaques informatiques se sont fortement intensifiées au cours de la dernière décennie, témoignant d’une dissémination et d’une sophistication croissante des moyens d’agression »[16]. Partant d’une stratégie nationale de cybersécurité initiée en 2011 et principalement conçue autour d’un modèle défensif, le nouveau Livre blanc de 2013 esquissait déjà une évolution doctrinale plus adaptée à la nature du risque, en envisageant une réponse gouvernementale proportionnée à l’ampleur d’un danger cybernétique exponentiel.
Une étape fondamentale est finalement franchie par la France en 2018, en se dotant « […] de capacités et d’une doctrine d’emploi qui couvrent les actions cyber offensives dédiées à l’engagement des forces armées »[17], pilotées par le COMCYBER. Ce type de réponse ne constituant qu’une possibilité parmi d’autres, la Revue stratégique de défense et de sécurité nationale, évoque à demi-mot d’autres formes de répliques plus conventionnelles : « Dans le Cyberespace, certaines attaques, en raison de leur ampleur et de leur gravité, pourraient relever de la qualification d’agression armée : une attaque informatique majeure, par les dommages qu’elle causerait, pourrait ainsi justifier l’invocation de la légitime défense au sens de l’article 51 de la Charte des Nations Unies[18]. Le document Droit international appliqué aux opérations dans le cyberespace ajoutant : « Ces opérations peuvent constituer des attaques au sens de l’article 49 du Protocole additionnel I aux Conventions de Genève (PA I), dès lors qu’elles produisent des dommages physiques, ou qu’elles rendent un système inopérant[19]. Ces réflexions sont en partie alimentées par le Manuel de Tallinn, guide rédigé par un groupe d’experts mandatés par l’OTAN, proposant une transposition du Droit international aux cyberconflits.
À l’échelle de l’Union européenne, la directive NIS représente un jalon important par sa volonté d’instituer au sein des 28 État membres, un groupe de coopération renforçant l’échange d’informations et de bonnes pratiques. Cependant, la disparité inhérente à l’application de ses recommandations en droit national (identification des secteurs critiques, éligibilité des OSE, mesures de sécurité…), met en exergue l’actuelle fragilité de l’espace numérique collectif, pouvant être marqué par quelques incohérences : par exemple, une entreprise disposant de filiales dans plusieurs pays, est susceptible de voir certaines désignées OSE et d’autres non. Il est toutefois possible de rester optimiste sur un dynamisme collectif, que la France, en sa qualité de nation cadre, est capable de plaider auprès de ses partenaires. Les orientations de sa Revue, qui se déclineront dans la prochaine Loi de programmation militaire œuvrent en tous cas dans ce sens : « La convergence des menaces sur l’Europe nécessite que les Européens soient davantage engagés en faveur de leur propre sécurité, et travaillent à l’ambition d’une autonomie stratégique commune »[20]. Il est à noter qu’une démarche de sensibilisation à un cyberespace sûr et pacifique, intégré au droit international – élargie cette fois à une centaine d’États – a été initiée par la France, le 12 novembre 2018, afin de préparer l’avenir à une plus grande coopération entre tous les acteurs opérant dans l’espace numérique.
[1] Livre blanc sur la défense et la sécurité nationale, Paris, 2008, p. 53.
[2] État de la menace liée au numérique en 2018, Paris, 2008, p. 33.
[3] https://www.internetworldstats.com/emarketing.htm
[4] État de la menace liée au numérique en 2018, ibid, p. 42.
[5] État de la menace liée au numérique en 2018, ibid, p. 42.
[6] Livre blanc sur la défense et la sécurité nationale, Paris, 2013, p. 45.
[7] https://www.legifrance.gouv.fr
[8] Louis Gautier, « Dix ans de sécurité des activités d’importance vitale », revue Défense, n°179, mars-avril 2016, p. 6.
[9] Journal officiel de la république française, n°129, dimanche 4 juin 2006, texte n°1.
[10] Livre blanc sur la défense et la sécurité nationale, Paris, 2008, p. 19.
[11] https://www.internetworldstats.com/emarketing.htm
[12] Livre blanc sur la défense et la sécurité nationale, Paris, 2013, p. 44.
[13] https://eur-lex.europa.eu
[14] Livre blanc sur la défense et la sécurité nationale, Paris, 2008, p. 96.
[15] Décision du Conseil concernant des mesures restrictives contre les cyberattaques qui menacent l’Union ou ses États membres, Bruxelles, 2019, p. 4.
[16] Revue stratégique de défense et de sécurité nationale, Paris, 2017, p. 35.
[17] Éléments publics de doctrine militaire de lutte informatique offensive, Paris, 2019, p. 4.
[18] Revue stratégique de défense et de sécurité nationale, ibid, p. 35.
[19] Droit international appliqué aux opérations dans le cyberespace, Paris 2019, p. 12.
[20] Revue stratégique de défense et de sécurité nationale, ibid, p. 58.
