I. LES CYBER-OPÉRATIONS CONDUITES EN TEMPS DE PAIX CONTRE LA FRANCE Messages clés La France exerce sa souveraineté sur les systèmes d’information situés sur son territoire et met en œuvre les moyens nécessaires à la protection de cette souveraineté. En parallèle à un ensemble de mesures de sécurisation et de défense de ses systèmes, elle se réserve le droit de répondre à toute cyberattaque dont elle aurait été victime. Cette identification peut se traduire par une attribution publique décidée en opportunité dans l’exercice de ses prérogatives régaliennes. Il relève de sa souveraineté de décider, ou non, d’une attribution collective en lien avec des partenaires étatiques ou des organisations internationales. La décision de réponse est politique et réalisée en conformité avec le droit international. Cette réponse peut aller jusqu’à l’utilisation de la force en fonction de la gravité de la cyber attaque7. Toute pénétration d’origine étatique non autorisée sur les systèmes français ou toute production d’effets sur le territoire français par un vecteur numérique peut constituer, a minima, une violation de souveraineté. Si celle-ci s’accompagne d’effets constitutifs d’un recours à la force armée au sens de l’article 2 alinéa 4 de la Charte des Nations unies, la France peut adopter des contre-mesures ou saisir le Conseil de Sécurité des Nations unies (CSNU). Par ailleurs, il n’est pas exclu qu’une cyberattaque puisse atteindre le seuil de l’agression armée à laquelle la France peut répondre par la légitime défense en vertu de l’article 51 de la Charte des Nations unies. La qualification du seuil de violation résulte d’une décision politique formulée au cas par cas à la lumière des critères établis par le droit international. Le Président de la République, chef des armées8, détermine en dernier ressort la réponse la plus opportune dans le spectre de celles autorisées par le droit international, notamment en fonction de la nature de l’intrusion et de la qualité de l’instigateur. 1.1.La France se réserve le droit de répondre à toute cyberattaque constitutive d’une violation du droit international dont elle serait victime Dans le prolongement des positions adoptées par le GGE9, ainsi que les développements sur le sujet au sein de la Revue stratégique de cyberdéfense, la France réaffirme l’obligation pour les États de respecter le droit international dans le cyberespace, notamment la Charte des Nations unies, en particulier les principes d’égalité souveraine des États, de règlement des différends internationaux par des moyens pacifiques, ainsi que le fait pour les États de s’abstenir dans leurs relations internationales de recourir à la menace ou à l’emploi de la force contre l’intégrité ou l’indépendance politique de tout État, ou de toute autre manière incompatible avec les buts des Nations unies. Nombre d’États se dotent de capacités pour préparer et conduire des opérations dans le cyberespace. Lorsqu’elles sont conduites au détriment des droits d’autres États, ces opérations peuvent constituer des violations du droit international. Compte tenu de leur degré d’intrusion ou de leurs effets, elles peuvent porter atteinte aux principes de souveraineté, de non-intervention, voire même d’interdiction de recours à la menace ou à l’emploi de la force10. Les États ciblés par de telles cyberattaques ont le droit d’y répondre dans le cadre des possibilités offertes par le droit international. En réponse à une cyberattaque, la France peut envisager des réponses diplomatiques pour certains incidents, des contre-mesures, voire une action de contrainte mise en œuvre par les forces armées pour les atteintes constitutives d’une agression armée. Au regard du droit international, une cyber-opération n’est pas illicite en soi, mais peut le devenir dès lors qu’elle ou les effets produits entraînent des violations du droit international. 1.1.1. Les cyberattaques peuvent être constitutives d’une violation de souveraineté Les normes et principes internationaux qui procèdent de la souveraineté étatique s’appliquent à l’utilisation de l’outil informatique par les États, ainsi qu’à leur compétence territoriale en matière d’infrastructure informatique11. La France exerce sa souveraineté sur les systèmes d’information situés sur son territoire12. Conformément à l’obligation de diligence requise13, elle veille à ce que son territoire 7 Action volontaire, offensive et malveillante, menée au travers du cyberespace et destinée à provoquer un dommage (en disponibilité, intégrité ou confidentialité) aux informations ou aux systèmes qui les traitent, pouvant ainsi nuire aux activités dont ils sont le support. 8 Article 15 de la Constitution du 4 octobre 1958. 9 « Rapport du Groupe d’experts gouvernementaux chargé d’examiner les progrès de l’informatique et des télécommunications dans le contexte de la sécurité internationale », A/70/174, 22 juillet 2015, §§ 25-26. 10 Article 2 alinéa 4 de la Charte des Nations Unies : « [L]es Membres de l’Organisation s’abstiennent, dans leurs relations internationales, de recourir à la menace ou à l’emploi de la force, soit contre l’intégrité territoriale ou l’indépendance politique de tout État, soit de toute autre manière incompatible avec les buts des Nations Unies. » 11 « Rapport du Groupe d’experts gouvernementaux chargé d’examiner les progrès de l’informatique et des télécommunications dans le contexte de la sécurité internationale », A/70/174, 22 juillet 2015, §§ 27-28. 12 Cela comprend les équipements et infrastructures français ou d’intérêts français. 13 Groupe d’experts gouvernementaux chargé d’examiner les progrès de l’informatique et des télécommunications dans le contexte de la sécurité internationale, rapport de 2015, Note du Secrétaire général, A/70/174, 22 juillet 2015, §13 c). 6