INTRODUCTION Le respect du droit international est, pour la France, une condition à l’émergence d’une régulation adaptée du cyberespace Un renforcement des menaces dans le cyberespace Le 12 novembre 2018, à l’initiative de la France, plusieurs centaines d’États, d’entreprises, d’acteurs du secteur privé et de représentants de la société civile ont réaffirmé dans l’Appel de Paris pour la confiance et la sécurité dans le cyberespace leur soutien à un cyberespace ouvert, sûr, stable, accessible et pacifique, ainsi que l’applicabilité du droit international, dont la Charte des Nations unies dans son intégralité, le droit international humanitaire (DIH) et le droit international coutumier, à l’usage des technologies de l’information et de la communication (TIC) par les États. Cette initiative, en faveur d’une plus grande coopération internationale entre tous les acteurs opérant dans l’espace numérique, s’inscrit en réponse à une décennie d’attaques informatiques toujours plus sophistiquées qui menacent nos sociétés. L’absence de règles communes clairement établies et appliquées laisse, en effet, libre cours à une compétition entre les acteurs étatiques ou non-étatiques d’autant plus âpre que l’accès et la maîtrise de cet espace revêtent un caractère stratégique. Dans le même temps, la difficulté à contrôler la propagation des attaques, leurs vecteurs et leurs conséquences fait courir des risques systémiques majeurs. Le dérèglement et la crise qui en résulte contribuent à faire de l’espace numérique un champ de confrontation à part entière comme le souligne la Revue stratégique de défense et de sécurité nationale publiée en octobre 2017, et participent de l’imprévisibilité et de l’instabilité de l’environnement stratégique actuel. Illustrant ce constat, les cyberattaques visant les systèmes d’information du gouvernement et des administrations, les secteurs d’activités d’importance vitale et les industries de défense sont plus nombreuses, plus agressives et plus techniques. Cette situation précaire est rendue plus critique encore par les postures de certains acteurs étatiques et non-étatiques qui, privilégiant ouvertement les rapports de force, conduisent à une remise en cause du cadre de la régulation du recours à la force établie depuis la fin de la Seconde Guerre mondiale. Aujourd’hui, les violations de principes internationaux auxquels les États adhèrent de longue date se multiplient. Face à une menace d’origine numérique toujours plus présente et durable, et des systèmes rendus plus vulnérables par la numérisation et leur inter-connectivité croissante, la régulation du cyberespace entre États et acteurs privés et publics doit devenir une priorité pour refonder un ordre collectif et multilatéral en vue de préserver la paix et la sécurité internationales. Dans le prolongement des conclusions de la Revue stratégique de cyberdéfense publiée en février 2018, des propositions françaises lors du dernier cycle de négociations du Groupe des experts gouvernementaux chargé d’examiner les progrès de la téléinformatique dans le contexte de la sécurité́ internationale (GGE), ainsi que de l’Appel de Paris, ce document a vocation à préciser la position française concernant l’application du droit international aux opérations cyber 1 afin, notamment, de réduire les risques d’incompréhension ou d’escalade non maîtrisée, et de contribuer à une lecture du corpus juridique cohérente avec la recherche d’un cyberespace pacifique et sûr2. Une telle démarche doit, par ailleurs, être de nature à faciliter le développement des coopérations internationales futures. Dans cette perspective, l’interprétation que la France fait du droit international applicable aux actions menées dans le cyberespace s’inscrit, tout d’abord, dans le respect des conclusions issues des négociations du GGE depuis 2004. Si l’échec du dernier cycle de négociations du GGE 2016-2017 acte une divergence fondamentale de perception entre certains États sur l’architecture internationale de sécurité dans le cyberespace, il ne remet pas en cause les normes et les principes agréés les années précédentes par les experts gouvernementaux. Ces négociations, organisées dans des formats différents (quinze experts gouvernementaux, puis vingt en 2014-2015 et vingt-cinq en 2016-2017) à cinq reprises entre 2004 et 2017, ont ainsi permis de reconnaître dès 2013 l’applicabilité du droit international, dont la Charte des Nations unies, au cyberespace3. En 2015, le GGE a insisté sur l’importance du droit international, de la Charte des Nations unies et du principe de souveraineté comme fondements d’une meilleure sécurité dans l’utilisation des technologies de l’information et des communications (TIC) par les États. Tout en convenant de la nécessité d’approfondir la question, le GGE a noté que les États avaient le droit de prendre des mesures conformes au droit international et reconnues par la Charte. Il a également rappelé les principes de DIH reconnus, y compris, lorsqu’ils sont applicables, les principes de distinction et de proportionnalité4. 1 Dans le présent document, les expressions « opérations dans le domaine cyber », « cyber-opérations » et « opérations cyber » sont considérées comme des synonymes. Pour les définitions associées, voir le glossaire en annexe. 2 L’espionnage informatique, qui n’est pas illicite en droit international bien qu’il puisse méconnaitre ce droit lorsqu’il est associé à un fait internationalement illicite, ne fait pas l’objet d’une analyse ou de développements spécifiques dans le présent document. 3 SGDSN, Revue stratégique de cyberdéfense, février 2018, p. 36. « Rapport du Groupe d’experts gouvernementaux chargé d’examiner les progrès de l’informatique et des télécommunications dans le contexte de la sécurité internationale », A/68/98, 24 juin 2013, § 19. 4 « Rapport du Groupe d’experts gouvernementaux chargé d’examiner les progrès de l’informatique et des télécommunications dans le contexte de la sécurité internationale », Note du Secrétaire général, A/70/174, 22 juillet 2015. L’Assemblée générale des Nations Unies demande à tous les États de s’inspirer, pour ce qui touche à l’utilisation de l’informatique et des technologies des communications, du rapport du GGE de 2015 (voir résolution A/RES/70/237 du 23 décembre 2015). 4